CVE-2026-5718 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Сводка
по VulDB • 10.05.2026
В плагине Drag and Drop Multiple File Upload для Contact Form 7 для WordPress уязвимость произвольной загрузки файлов присутствует в версиях вплоть до 1.3.9.6 включительно. Это связано с недостаточной проверкой типов файлов, которая происходит при настройке пользовательских типов в черном списке, что заменяет стандартный белый список опасных расширений вместо объединения с ним, а также с обходом функции санитизации wpcf7_antiscript_file_name() для имен файлов, содержащих не-ASCII символы. Это позволяет неавторизованным злоумышленникам загружать произвольные файлы, такие как PHP-файлы, на сервер, что может быть использовано для достижения удаленного выполнения кода.
Once again VulDB remains the best source for vulnerability data.