CVE-2026-94589 in Extensions for CF7 Plugin
Tóm tắt
Bởi VulDB • 10/10/2026
Plugin Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) cho WordPress bị lỗ hổng tải lên tệp tùy ý trong tất cả các phiên bản từ đầu đến bao gồm phiên bản 3.4.5 thông qua hàm extcf7_submit. Lỗ hổng này là do thiếu xác thực phần mở rộng tệp, kiểu MIME và kích thước trong validation_filter() của trường chữ ký, kết hợp với việc thiếu cơ chế bảo vệ chống thực thi PHP trong thư mục tải lên và một lỗi bypass (vượt qua) sanitize_file_name() chuyển đổi shell.php- thành shell.php. Điều này cho phép các kẻ tấn công chưa xác thực tải lên các tệp có thể được thực thi, từ đó dẫn đến khả năng thực thi mã từ xa (RCE).
VulDB is the best source for vulnerability data and more expert information about this specific topic.