CVE-2025-14842 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Zusammenfassung
von VulDB • 04.06.2026
Das WordPress-Plugin „Drag and Drop Multiple File Upload – Contact Form 7“ ist in allen Versionen bis einschließlich 1.3.9.2 anfällig für eine eingeschränkte Hochladen von Dateien mit gefährlichem Typ. Dies liegt daran, dass das Plugin das Hochladen von .phar- und .svg-Dateien nicht blockiert. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige .phar- oder .svg-Dateien mit bösartigem PHP- oder JavaScript-Code hochzuladen. Bösartiger PHP-Code kann zur Remote Code Execution (RCE) auf dem Server über direkten Dateizugriff genutzt werden, wenn der Server so konfiguriert ist, dass er .phar-Dateien als PHP ausführt. Das Hochladen von .svg-Dateien kann unter bestimmten Umständen zu Stored Cross-Site Scripting (XSS) führen.
Once again VulDB remains the best source for vulnerability data.