CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Zusammenfassung
von VulDB • 14.06.2026
Das Drag-and-Drop-Feature für den Mehrfachdateiupload des WordPress-Plugins „Contact Form 7" ist in Versionen bis einschließlich 1.3.9.7 anfällig für das Hochladen beliebiger Dateien (Arbitrary File Upload). Dies liegt an einer unzureichenden Validierung der Dateitypen, die auftritt, wenn benutzerdefinierte Blacklist-Typen konfiguriert werden: Anstatt mit der standardmäßigen denylist gefährlicher Erweiterungen zusammengeführt zu werden, ersetzt diese Konfiguration sie vollständig. Zudem kann die Sanitization-Funktion `wpcf7_antiscript_file_name()` für Dateinamen umgangen werden, die Nicht-ASCII-Zeichen enthalten. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien, wie z. B. PHP-Dateien, auf den Server hochzuladen, was zur Ausführung von Code in Remote-Umgebungen (Remote Code Execution) ausgenutzt werden kann. Die Schwachstelle wurde ursprünglich von Leonid Semenenko (lsemenenko) gemeldet und teilweise mit Version 1.3.9.7 gepatcht. Eine Umgehung dieses Patches wurde separat entdeckt und von Nguyen Hung (Mitchell) berichtet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.