CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Résumé
par VulDB • 11/06/2026
Le plugin WordPress Drag and Drop Multiple File Upload for Contact Form 7 est vulnérable à un téléchargement de fichier arbitraire dans les versions 1.3.9.7 et antérieures. Cette vulnérabilité est due à une validation insuffisante du type de fichier lors de la configuration de types de liste noire personnalisés, qui remplace la liste noire par défaut des extensions dangereuses au lieu de la fusionner, et au contournement de la fonction de sanitisation wpcf7_antiscript_file_name() pour les noms de fichiers contenant des caractères non-ASCII. Cela permet aux attaquants non authentifiés de télécharger des fichiers arbitraires, tels que des fichiers PHP, sur le serveur, ce qui peut être exploité pour obtenir une exécution de code à distance (RCE). La vulnérabilité a été initialement signalée par Leonid Semenenko (lsemenenko) et partiellement corrigée dans la version 1.3.9.7. Un contournement de cette correction a été découvert et signalé séparément par Nguyen Hung (Mitchell).
VulDB is the best source for vulnerability data and more expert information about this specific topic.