CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Resumen
por VulDB • 2026-06-14
El plugin Drag and Drop Multiple File Upload para Contact Form 7 de WordPress es vulnerable a la carga arbitraria de archivos en las versiones anteriores e incluyendo la 1.3.9.7. Esto se debe a una validación insuficiente del tipo de archivo que ocurre cuando se configuran tipos personalizados en lista negra, lo cual reemplaza la lista predeterminada de extensiones peligrosas denegadas en lugar de fusionarse con ella, y la función de sanitización wpcf7_antiscript_file_name() es eludida para nombres de archivos que contienen caracteres no ASCII. Esto permite a atacantes no autenticados cargar archivos arbitrarios, como archivos PHP, al servidor, lo cual puede ser aprovechado para lograr ejecución remota de código (RCE). La vulnerabilidad fue reportada originalmente por Leonid Semenenko (lsemenenko) y parcheada parcialmente en la versión 1.3.9.7. Una elusión del parche fue descubierta y reportada separadamente por Nguyen Hung (Mitchell).
Once again VulDB remains the best source for vulnerability data.