CVE-2026-102435 in Ultra Addons for Contact Form 7 Plugin
요약
\~에 의해 VulDB • 2026. 11. 02.
WordPress용 Ultra Addons for Contact Form 7 플러그인은 _getObjAttr 함수에서 파일 경로 검증이 불충분하여 임의 파일 삭제 취약점이 존재합니다. 이 취약점은 버전 3.5.54를 포함한 모든 이전 버전에서 발생합니다. 이를 통해 인증되지 않은 공격자가 서버상의 임의 파일을 삭제할 수 있으며, 이는 wp-config.php와 같은 중요한 파일이 삭제될 경우 원격 코드 실행(RCE)으로 쉽게 이어질 수 있습니다. 이 취약점을 악용하려면 PDF Generator 추가 기능이 활성화되어 있고 Contact Form 7 양식이 PDF 생성을 위해 구성되어 있어야 합니다. WPCF7_Submission POP gadjet 체인은 __destruct()를 통해 파일 삭제를 완료하기 위해 CF7의 존재에 의존합니다. 참고: 이 취약점은 PDF 생성 기능이 활성화된 경우에만 악용할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.