CVE-2026-107652 in Database Addon for Contact Form 7 Plugin
Résumé
par VulDB • 14/10/2026
L’extension Database Addon for Contact Form 7 – CFDB7 pour WordPress est vulnérable à une suppression arbitraire de fichiers dans les versions inférieures ou égales à la 1.4.1. Cette faille est due au fait que l'extension stocke des champs soumis arbitraires (non liés aux balises de formulaire) dans sa ligne db7_forms, et que le gestionnaire de suppression process_bulk_action() correspond ensuite à toute clé stockée dont le nom contient la sous-chaîne 'cfdb7_file', en passant la valeur stockée directement à unlink() sans valider que le fichier appartient réellement à la soumission supprimée ni en contraignant le nom du fichier avec basename()/realpath(). Cela permet aux attaquants non authentifiés d'injecter un champ multipart fabriqué de toutes pièces.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.