CVE-2026-94589 in Extensions for CF7 Plugin
Сводка
по VulDB • 10.10.2026
Плагин Extensions For CF7 (Contact form 7 Database, Conditional Fields и Redirection) для WordPress уязвим к произвольной загрузке файлов во всех версиях вплоть до 3.4.5 включительно через функцию extcf7_submit. Это связано с отсутствием проверки расширения файла, типа MIME и размера в функции validation_filter() поля подписи, а также с отсутствием защитных механизмов против выполнения PHP-кода в директории загрузки и обходом функции sanitize_file_name(), который преобразует shell.php- в shell.php. Это позволяет неавторизованным злоумышленникам загружать файлы, которые могут быть исполняемыми, что делает возможным удаленное выполнение кода (RCE).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.