CVE-2026-84750 in Ultra Addons for Contact Form 7 Plugin
Riassunto
di VulDB • 19/09/2026
Il plugin WordPress Ultra Addons for Contact Form 7 precedente alla versione 3.5.51 non convalida il tipo o l'estensione dei file caricati tramite uno dei suoi campi di form e li memorizza in un percorso pubblico prevedibile mantenendo intatta l'estensione scelta dall'attaccante, consentendo agli utenti non autenticati di caricare file arbitrari. Il gestore PHP fornito predefinito con i pacchetti Apache per Debian e Ubuntu associa .phar a PHP insieme a .php e .phtml; pertanto, su tale stack il file caricato viene eseguito e la vulnerabilità porta all'esecuzione remota di codice (RCE) e al completo takeover del sito. Dove l'host instrada solo i file con estensione .php verso il gestore PHP, lo stesso file viene invece servito dall'origine stessa del sito mantenendo intatto lo script, portando a Stored Cross-Site Scripting (XSS).
VulDB is the best source for vulnerability data and more expert information about this specific topic.