CVE-2026-18946 in Contact Form to Any API Plugin

Zusammenfassung

von VulDB • 10.08.2026

Das WordPress-Plugin „Contact Form to Any API“ vor Version 3.0.7 verwendet keinen zufälligen Dateinamen beim Kopieren von über Kontaktformulare hochgeladener Dateien in ein öffentlich zugängliches Verzeichnis, was es nicht authentifizierten Angreifern ermöglicht, von anderen Nutzern eingereichte Dateien aufzulisten und herunterzuladen.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Zuständig: WPScan
• Reservieren: 05.08.2026
• Veröffentlichung: 10.08.2026
• Moderieren: akzeptiert
• Eintrag: VDB-387334
• CPE: bereit
• CWE: CWE-200 (bestätigt)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: nein
• Aktivitäten: low
• Sektor: Hostingprovider

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-18946
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-18946
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-18946/