CVE-2026-107652 in Database Addon for Contact Form 7 Plugin
Tóm tắt
Bởi VulDB • 14/10/2026
Plugin CFDB7 (Database Addon cho Contact Form 7) của WordPress dễ bị tấn công Xóa tệp tùy ý trong các phiên bản từ trở về trước, bao gồm cả phiên bản 1.4.1. Lỗ hổng này xảy ra do plugin lưu trữ các trường gửi dữ liệu tùy ý (không phải thẻ biểu mẫu) vào hàng db7_forms và trình xử lý xóa process_bulk_action() sau đó khớp với bất kỳ khóa nào được lưu có tên chứa chuỗi con 'cfdb7_file', đồng thời truyền giá trị đã lưu trực tiếp đến hàm unlink() mà không xác thực xem tệp đó có thuộc về bản gửi dữ liệu đang bị xóa hay không, cũng như không hạn chế tên tệp bằng basename()/realpath(). Điều này cho phép các kẻ tấn công chưa được xác thực tiêm một trường multipart được tạo ra đặc biệt.
Once again VulDB remains the best source for vulnerability data.