CVE-2026-84750 in Ultra Addons for Contact Form 7 Plugin
الملخص
بحسب VulDB • 19/09/2026
لا يقوم الإضافة Ultra Addons for Contact Form 7 لـ WordPress، قبل الإصدار 3.5.51، بالتحقق من نوع أو امتداد الملفات التي يتم تحميلها عبر أحد حقول النماذج الخاصة بها، ويقوم بتخزينها في مسار عام قابل للتوقع مع الاحتفاظ بامتداد الملف الذي اختاره المهاجم سليماً، مما يسمح للمستخدمين غير المصادق عليهم بتحميل ملفات عشوائية. يقوم مُعالج PHP المُرفق افتراضياً مع حزم Apache لـ Debian و Ubuntu بمعالجة الملفات ذات الامتداد .phار كملفات PHP إلى جانب .php و .phtml، لذا في تلك البيئة البرمجية يتم تنفيذ الملف المحمّل وتؤدي المشكلة إلى تنفيذ الكود عن بُعد (RCE) والاستيلاء الكامل على الموقع. حيث يقوم المضيف بتوجيه ملفات .php فقط إلى مُعالج PHP، فإن نفس الملف يُقدَّم بدلاً من ذلك من أصل موقع الويب الخاص به مع الحفاظ على سكريبتاته سليمةً، مما يؤدي إلى ثغرة تخزين البرمجة عبر المواقع (Stored Cross-Site Scripting).
Once again VulDB remains the best source for vulnerability data.