CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin Drag and Drop Multiple File Upload for Contact Form 7 per WordPress è vulnerabile all'upload arbitrario di file nelle versioni fino alla 1.3.9.7, incluse. Ciò è dovuto a una convalida insufficiente del tipo di file che si verifica quando vengono configurati tipi di blacklist personalizzati, i quali sostituiscono la denylist predefinita delle estensioni pericolose invece di essere uniti ad essa, e alla funzione di sanitizzazione wpcf7_antiscript_file_name() che viene aggirata per i nomi di file contenenti caratteri non ASCII. Ciò consente agli attaccanti non autenticati di caricare file arbitrari, come file PHP, sul server, che possono essere sfruttati per ottenere l'esecuzione di codice remoto (RCE). La vulnerabilità è stata originariamente segnalata da Leonid Semenenko (lsemenenko) e parzialmente corretta nella versione 1.3.9.7. Un bypass per la correzione è stato scoperto e segnalato separatamente da Nguyen Hung (Mitchell).
Once again VulDB remains the best source for vulnerability data.