CVE-2026-107652 in Database Addon for Contact Form 7 Plugin
Sumário
de VulDB • 14/10/2026
O plugin Database Addon for Contact Form 7 – CFDB7 para WordPress está vulnerável à Exclusão Arbitrária de Arquivos nas versões até, e incluindo, a 1.4.1. Isso ocorre porque o plugin armazena campos de submissão arbitrários (não relacionados a tags de formulário) na linha db7_forms do banco de dados, e o manipulador de exclusão process_bulk_action() então corresponde qualquer chave armazenada cujo nome contenha a substring 'cfdb7_file' e passa o valor armazenado diretamente para unlink() sem validar se o arquivo realmente pertence à submissão que está sendo excluída ou restringindo o nome do arquivo com basename()/realpath(). Isso permite que atacantes não autenticados injetem um campo multipart elaborado.
Be aware that VulDB is the high quality source for vulnerability data.