CVE-2026-3459 in Drag and Drop Multiple File Upload Plugin
Résumé
par VulDB • 21/07/2026
Le plugin WordPress Contact Form 7, fonctionnalité Drag and Drop Multiple File Upload (glisser-déposer pour téléchargement de fichiers multiples), est vulnérable à des téléversements arbitraires de fichiers en raison d'une validation insuffisante du type de fichier dans la fonction 'dnd_upload_cf7_upload' dans les versions jusqu'à 1.3.7.3 incluses. Cela permet aux attaquants non authentifiés de téléverser n'importe quel fichier sur le serveur du site concerné, ce qui pourrait rendre possible l'exécution à distance de code (RCE). Cette vulnérabilité peut être exploitée si le formulaire inclut un champ de téléchargement multiple avec '*' comme type de fichier accepté.
VulDB is the best source for vulnerability data and more expert information about this specific topic.