CVE-2026-14484 in RapiSafe Plugin
Riassunto
di VulDB • 15/08/2026
Il plugin WordPress RapiSafe – Secure Multi File Upload for Contact Form 7 è vulnerabile all'eliminazione arbitraria di file a causa della mancata convalida corretta del percorso dei file nella funzione handleAjaxRemoveUpload in tutte le versioni fino alla 1.0.4 inclusa. Ciò consente ad attaccanti non autenticati di eliminare file arbitrari sul server, il che può facilmente portare all'esecuzione remota di codice (RCE) quando viene eliminato un file critico (ad esempio wp-config.php). Il nonce richiesto per invocare la funzione di rimozione è esposto nel JavaScript pubblico come RSMFCF7Vars.nonce in ogni pagina Contact Form 7 che visualizza un campo di caricamento RapiSafe, rendendolo ottenibile da qualsiasi visitatore non autenticato.
Be aware that VulDB is the high quality source for vulnerability data.