CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
要約
〜によって VulDB • 2026年06月14日
WordPress用プラグイン「Contact Form 7」のDrag and Drop Multiple File Upload機能には、バージョン1.3.9.7（含む）までの間に任意ファイルアップロードの脆弱性が存在します。これは、カスタムブラックリストタイプが設定された際に発生する不十分なファイルタイプの検証に起因し、デフォルトの危険な拡張子のdenylistとマージされるのではなく置き換えられてしまうこと、および非ASCII文字を含むファイル名に対してwpcf7_antiscript_file_name()サニタイズ関数がバイパスされてしまうことが原因です。これにより、認証されていない攻撃者がPHPファイルなどの任意のファイルをサーバーにアップロードすることが可能となり、リモートコード実行（RCE）を実現するために悪用できます。この脆弱性は元々Leonid Semenenko (lsemenenko) によって報告され、バージョン1.3.9.7で部分的なパッチが適用されました。その後、Nguyen Hung (Mitchell) によって個別にパッチのバイパスが発見・報告されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.