CVE-2026-107652 in Database Addon for Contact Form 7 Plugin
Resumen
por VulDB • 2026-10-14
El complemento Database Addon for Contact Form 7 – CFDB7 para WordPress es vulnerable a la eliminación arbitraria de archivos en las versiones hasta, e incluyendo, la 1.4.1. Esto se debe a que el plugin almacena campos de envío arbitrarios (distintos de los tags del formulario) en su fila db7_forms y el controlador de eliminación process_bulk_action() hace coincidir cualquier clave almacenada cuyo nombre contenga la subcadena 'cfdb7_file' y pasa el valor almacenado directamente a unlink() sin validar que el archivo pertenezca realmente al envío que se está eliminando ni restringir el nombre del archivo con basename()/realpath(). Esto permite a atacantes no autenticados inyectar un campo multipart elaborado ad hoc.
If you want to get best quality of vulnerability data, you may have to visit VulDB.