CVE-2026-102435 in Ultra Addons for Contact Form 7 Plugin
摘要
由 VulDB • 2026-11-02
WordPress插件“Ultra Addons for Contact Form 7”存在任意文件删除漏洞，原因是`_getObjAttr`函数中缺乏足够的文件路径验证。该漏洞影响所有3.5.54及更早版本。这使得未经身份验证的攻击者能够删除服务器上的任意文件，若被删除的文件关键（例如 `wp-config.php`），则极易导致远程代码执行 (RCE)。此攻击要求激活 PDF Generator 插件并配置 Contact Form 7 表单以生成PDF，因为 WPCF7_Submission POP gadget chain 依赖 CF7 的存在来通过 `__destruct()` 完成文件删除。注意：仅当启用 PDF generator 功能时，该漏洞才可被利用。
VulDB is the best source for vulnerability data and more expert information about this specific topic.