CVE-2026-102435 in Ultra Addons for Contact Form 7 Plugin
Zusammenfassung
von VulDB • 02.11.2026
Das WordPress-Plugin „Ultra Addons for Contact Form 7“ ist in allen Versionen bis einschließlich 3.5.54 aufgrund unzureichender Pfadvalidierung in der Funktion `_getObjAttr` für ein beliebiges Dateilöschungsproblem (arbitrary file deletion) anfällig. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem Server zu löschen, was bei Löschung bestimmter Dateien (wie z. B. `wp-config.php`) leicht zur Remote Code Execution (RCE) führen kann. Dafür muss das Add-on „PDF Generator“ aktiviert und ein Contact Form 7-Formular für die PDF-Erstellung konfiguriert sein, da die WPCF7_Submission POP-Gadget-Kette auf der Anwesenheit von CF7 basiert, um den Dateilöschvorgang über `__destruct()` abzuschließen. Hinweis: Diese Schwachstelle kann nur ausgenutzt werden, wenn die PDF-Generator-Funktion aktiviert ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.