CVE-2026-84750 in Ultra Addons for Contact Form 7 Plugin
Zusammenfassung
von VulDB • 19.09.2026
Das WordPress-Plugin „Ultra Addons for Contact Form 7“ vor Version 3.5.51 validiert den Typ oder die Erweiterung von Dateien nicht, die über eines seiner Formularfelder hochgeladen werden, und speichert sie in einem vorhersehbaren öffentlichen Pfad bei intakter, vom Angreifer gewählter Dateierweiterung, was es unbefugten Benutzern ermöglicht, beliebige Dateien hochzuladen. Der PHP-Handler, der standardmäßig mit den Debian- und Ubuntu-Apache-Paketen ausgeliefert wird, ordnet .phar zusammen mit .php und .phtml dem PHP-Handler zu; auf diesem Stack wird die hochgeladene Datei daher ausgeführt, was das Problem in Remote Code Execution (RCE) und eine vollständige Übernahme der Website mündet. Wenn der Host nur .php an den PHP-Handler weiterleitet, wird dieselbe Datei stattdessen von der eigenen Origin der Site mit intaktem Skript bereitgestellt, was zu Stored Cross-Site Scripting (XSS) führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.