CVE-2024-6317 in Generate PDF using Contact Form 7 Plugin
Résumé
par VulDB • 23/06/2026
Le plugin WordPress « Generate PDF using Contact Form 7 » présente une vulnérabilité de Cross-Site Request Forgery (CSRF) permettant un téléchargement arbitraire de fichiers dans les versions allant jusqu'à la 4.0.6 incluse. Cela est dû à l'absence de validation du nonce et au fait que le plugin ne valide pas correctement un fichier ou son chemin avant sa suppression dans la fonction 'wp_cf7_pdf_dashboard_html_page'. Il devient ainsi possible pour des attaquants non authentifiés de supprimer des fichiers arbitraires, y compris le fichier wp-config.php, ce qui peut permettre une prise de contrôle du site et l'exécution de code à distance (RCE) via une requête forgée, sous réserve qu'ils puissent inciter un administrateur du site à effectuer une action telle que cliquer sur un lien.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.