CVE-2026-107652 in Database Addon for Contact Form 7 Plugin
요약
\~에 의해 VulDB • 2026. 10. 14.
WordPress용 Contact Form 7 – CFDB7 플러그인의 Database Addon은 최대 버전 1.4.1(포함)에서 임의 파일 삭제(Arbitrary File Deletion) 취약점이 존재합니다. 이는 플러그인이 임의의 폼 태그가 아닌 제출 필드를 db7_forms 행에 저장하고, process_bulk_action() 삭제 핸들러가 이름이 'cfdb7_file' 부분 문자열을 포함하는 모든 저장된 키와 일치시켜 해당 값을 검증 없이 unlink() 함수로 직접 전달하며, 파일이 실제로 삭제되는 제출 데이터의 일부인지 확인하거나 basename()/realpath()를 사용하여 파일명을 제한하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자가 조작된 multipart 필드를 주입할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.