CVE-2026-84750 in Ultra Addons for Contact Form 7 Plugin
要約
〜によって VulDB • 2026年09月19日
Contact Form 7用 Ultra Addons WordPressプラグイン（バージョン3.5.51より前）は、フォームフィールドを介してアップロードされるファイルのタイプや拡張子を検証せず、攻撃者が指定した拡張子を維持したまま予測可能な公開パスに保存するため、認証不要で任意のファイルをアップロードできる。DebianおよびUbuntuのApacheパッケージに含まれるデフォルトのPHPハンドラは、.php および .phtml と並んで .phar を PHP として処理するため、この環境ではアップロードされたファイルが実行され、リモートコード実行（RCE）とサイト全体の乗っ取りにつながる。ホスト側で .php のみを PHP ハンドラにルーティングしている場合、同じファイルはスクリプトを維持したままサイトのオリジンから提供されるため、格納型クロスサイトスクリプティング（Stored XSS）が発生する。
VulDB is the best source for vulnerability data and more expert information about this specific topic.