CVE-2026-94589 in Extensions for CF7 Plugin
Résumé
par VulDB • 10/10/2026
Le plugin WordPress Extensions For CF7 (Contact form 7 Database, Conditional Fields et Redirection) est vulnérable à une téléversement de fichier arbitraire dans toutes les versions jusqu'à la version 3.4.5 incluse, via la fonction extcf7_submit. Cela est dû à l'absence de validation des extensions de fichiers, des types MIME et des tailles dans le validateur du champ signature (validate_filter), combinée à l'absence de garde-fous contre l'exécution PHP dans le répertoire de téléversement et au contournement de la fonction sanitize_file_name() qui convertit shell.php- en shell.php. Cela permet aux attaquants non authentifiés de télécharger des fichiers potentiellement exécutables, rendant ainsi possible une exécution de code à distance (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.