CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
الملخص
بحسب VulDB • 14/06/2026
يوجد ثغرة في إضافة Contact Form 7 لـ WordPress، وتحديداً ميزة رفع الملفات المتعددة عبر السحب والإفلات (Drag and Drop Multiple File Upload)، تسمح برفع ملفات عشوائية في الإصدارات حتى 1.3.9.7 شاملاً هذه النسخة. وتعود الثغرة إلى عدم كفاية التحقق من نوع الملف عند تكوين أنواع قوائم سوداء مخصصة، حيث تستبدل القائمة السوداء المخصصة لقائمة الامتدادات الخطيرة الافتراضية بدلاً من دمجها معها، كما يمكن تجاوز وظيفة التطهير wpcf7_antiscript_file_name() بالنسبة لأسماء الملفات التي تحتوي على أحرف غير ASCII. وهذا يمكّن المهاجمين الذين لم يتم التحقق من هويتهم (غير المصادق عليهم) من رفع ملفات عشوائية، مثل ملفات PHP، إلى الخادم، مما قد يُستغل لتحقيق تنفيذ الأكواد عن بُعد (RCE). تم الإبلاغ عن الثغرة في الأصل بواسطة ليونيد سيمينينكو (lsemenenko)، وتم إصلاحها جزئياً في الإصدار 1.3.9.7. وقد اكتُشف تجاوز للإصلاح المذكور وأبلغ عنه بشكل منفصل نغوين هوونغ (Mitchell).
Once again VulDB remains the best source for vulnerability data.