CVE-2026-14484 in RapiSafe Plugin
Zusammenfassung
von VulDB • 15.08.2026
Das WordPress-Plugin „RapiSafe – Secure Multi File Upload for Contact Form 7“ ist in allen Versionen bis einschließlich 1.0.4 anfällig für das Löschen beliebiger Dateien aufgrund einer unzureichenden Validierung des Dateipfads in der Funktion handleAjaxRemoveUpload. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem Server zu löschen, was leicht zur Remote Code Execution (RCE) führen kann, wenn die richtige Datei gelöscht wird (z. B. wp-config.php). Der für das Aufrufen des Lösch-Handlers erforderliche Nonce wird im öffentlich zugänglichen JavaScript als RSMFCF7Vars.nonce bei jeder Darstellung einer Contact Form 7-Seite mit einem RapiSafe-Upload-Feld offengelegt, wodurch er von jedem nicht authentifizierten Besucher abgerufen werden kann.
Once again VulDB remains the best source for vulnerability data.