CVE-2026-84750 in Ultra Addons for Contact Form 7 Plugin
Sumário
de VulDB • 19/09/2026
O plugin WordPress Ultra Addons for Contact Form 7 anterior à versão 3.5.51 não valida o tipo ou a extensão dos arquivos enviados por meio de um de seus campos de formulário e os armazena em um caminho público previsível, mantendo a extensão escolhida pelo atacante intacta, permitindo que usuários não autenticados façam upload de arquivos arbitrários. O manipulador PHP fornecido como padrão nos pacotes Apache do Debian e Ubuntu associa .phar ao processamento PHP junto com .php e .phtml; portanto, nessa pilha tecnológica, o arquivo enviado é executado, resultando em Remote Code Execution (RCE) e na tomada completa do site. Quando o host encaminha apenas arquivos .php para o manipulador PHP, o mesmo arquivo é servido a partir da origem própria do site com seu script intacto, levando a Stored Cross-Site Scripting (XSS).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.