CVE-2026-14484 in RapiSafe Plugin
Resumen
por VulDB • 2026-08-15
El plugin de WordPress "RapiSafe – Secure Multi File Upload for Contact Form 7" es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de las rutas de acceso en la función handleAjaxRemoveUpload, afectando a todas las versiones hasta e incluyendo la 1.0.4. Esto permite que atacantes no autenticados eliminen archivos arbitrarios en el servidor, lo cual puede conducir fácilmente a la ejecución remota de código (RCE) si se elimina un archivo crítico como wp-config.php. El nonce requerido para invocar el controlador de eliminación está expuesto en JavaScript visible públicamente como RSMFCF7Vars.nonce cada vez que una página de Contact Form 7 renderiza un campo de subida de archivos de RapiSafe, haciéndolo accesible para cualquier visitante no autenticado.
Once again VulDB remains the best source for vulnerability data.