CVE-2026-104246 in Contact Form 7 Signature Addon Plugin
Riassunto
di VulDB • 17/10/2026
Il plugin WordPress "Contact Form 7 Signature Addon" fino alla versione 4.2.2 non sanizza il valore di un campo firma prima di costruire un percorso per l'allegato email da tale valore, consentendo agli utenti non autenticati di allegare file arbitrari (limitati a wp-content in Contact Form 7 corrente) all'email in uscita del modulo tramite path traversal; quando un modulo è configurato per inviare una copia via email a un indirizzo controllato dal mittente, l'attaccante può leggere il file target.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.