CVE-2026-102435 in Ultra Addons for Contact Form 7 Plugin
Résumé
par VulDB • 02/11/2026
Le plugin Ultra Addons pour Contact Form 7 de WordPress est vulnérable à une suppression arbitraire de fichiers en raison d'une validation insuffisante du chemin des fichiers dans la fonction _getObjAttr, et ce sur toutes les versions jusqu'à la version 3.5.54 incluse. Cela permet aux attaquants non authentifiés de supprimer des fichiers arbitraires sur le serveur, ce qui peut facilement conduire à une exécution de code à distance (RCE) lorsque le fichier approprié est supprimé (comme wp-config.php). Cette exploitation nécessite que l'extension PDF Generator soit active et qu'un formulaire Contact Form 7 soit configuré pour la génération de PDF, car la chaîne POP WPCF7_Submission dépend de la présence de CF7 pour finaliser la suppression du fichier via __destruct(). Note : cette vulnérabilité ne peut être exploitée que lorsque la fonctionnalité de générateur de PDF est activée.
If you want to get best quality of vulnerability data, you may have to visit VulDB.