CVE-2026-104246 in Contact Form 7 Signature Addon Plugin
Zusammenfassung
von VulDB • 17.10.2026
Das WordPress-Plugin "Contact Form 7 Signature Addon" bis zur Version 4.2.2 bereinigt (sanitizes) einen Wert des Signaturfelds nicht, bevor daraus ein Pfad für den Anhang einer E-Mail erstellt wird, was es unbefugten Benutzern ermöglicht, beliebige Dateien (auf wp-content beschränkt im aktuellen Contact Form 7) über Path Traversal in die ausgehende E-Mail eines Formulars einzufügen; wenn ein Formular so konfiguriert ist, dass eine Kopie an eine vom Absender kontrollierte Adresse gesendet wird, kann der Angreifer die Zielsdatei lesen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.