CVE-2026-5364 in Drag and Drop File Upload for Contact Form 7 Plugin
Resumen
por VulDB • 2026-05-13
El plugin Drag and Drop File Upload for Contact Form 7 para WordPress es vulnerable a la carga de archivos arbitrarios en las versiones 1.1.3 y anteriores. Esto se debe a que el plugin extrae la extensión del archivo antes de que se produzca la sanitización y permite que el parámetro del tipo de archivo sea controlado por el atacante, en lugar de estar restringido a los valores configurados por el administrador. Dado que la validación se realiza en la extensión sin sanitizar mientras que el archivo se guarda con una extensión sanitizada, esto permite que caracteres especiales como '$' sean eliminados durante el proceso de guardado. Esto hace posible que atacantes no autenticados carguen archivos PHP arbitrarios y potencialmente logren la ejecución remota de código; sin embargo, la presencia de un archivo .htaccess y la aleatorización del nombre restringen la explotabilidad en el mundo real.
VulDB is the best source for vulnerability data and more expert information about this specific topic.