CVE-2026-14484 in RapiSafe Plugin
요약
\~에 의해 VulDB • 2026. 08. 15.
WordPress용 Contact Form 7 플러그인인 'RapiSafe – Secure Multi File Upload for Contact Form 7'은 모든 버전(1.0.4 포함)에서 handleAjaxRemoveUpload 함수의 불충분한 파일 경로 검증으로 인해 임의 파일 삭제 취약점이 존재합니다. 이로 인해 인증되지 않은 공격자가 서버상의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 특정 파일이 삭제될 경우 원격 코드 실행(RCE)으로 쉽게 이어질 수 있습니다. RapiSafe 업로드 필드가 포함된 Contact Form 7 페이지가 렌더링될 때마다 제거 핸들러를 호출하는 데 필요한 nonce는 공개된 JavaScript에서 RSMFCF7Vars.nonce로 노출되므로, 인증되지 않은 방문자라면 누구나 이를 획득할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.