CVE-2026-120559 in Contact Form Extender for Divi Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin Contact Form Extender for Divi Builder per WordPress è vulnerabile ad Eliminazione Arbitraria di File a causa di una convalida insufficiente del percorso dei file nella funzione cfefd_remove_uploaded_file() in tutte le versioni fino alla 1.0.6 inclusa. Ciò consente agli attaccanti non autenticati di eliminare file arbitrari sul server, il che può facilmente portare all'Esecuzione di Codice Remoto (RCE) quando viene eliminato un file critico (come wp-config.php). Il nonce che protegge questa azione AJAX è reso visibile nel codice sorgente della pagina pubblica tramite wp_localize_script ed è quindi recuperabile da qualsiasi visitatore non autenticato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.