CVE-2026-82901 — Ultra Addons for Contact Form 7 (Datei-Upload)

Python-3-PoC für CVE-2026-82901 — Ultra Addons for Contact Form 7 (Themefic) ≤ 3.5.50.

Beschreibung (PoCbit / GitHub)

CVE-2026-82901 — Nicht authentifizierter beliebiger Datei-Upload (CWE-434) in uacf7_wpcf7_mail_components innerhalb des PDF Generator-Addons. Hochgeladene Signaturdateien werden mit schwacher Validierung nach /wp-content/uploads/uacf7-uploads/ kopiert, was RCE ermöglicht, wenn PHP unter uploads ausgeführt wird. CVSS 3.1 9.8 Kritisch (PR:N). Fix: > 3.5.51 (Wordfence / Changeset 3698232).

Bedingung: PDF Generator-Modul aktiviert bei einem Formular mit uacf7_signature (Modul standardmäßig deaktiviert).

PoC-Seite: https://pocbit.org/pocs/cve-2026-82901

PoCbit

Plugin	ultimate-addons-for-contact-form-7
Betroffen	≤ 3.5.50
Behoben	3.5.51+
Vektor	CF7 REST-Feedback + Signaturdatei-Feld
Schreibpfad	wp-content/uploads/uacf7-uploads/

Verwendung

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --form-url "https://wordpress.example/contact/"
python poc.py -u https://wordpress.example --mode exploit --form-url "https://wordpress.example/contact/"
python poc.py --list targets.example.txt --mode check -j 10

FOFA / Google

body="/wp-content/plugins/ultimate-addons-for-contact-form-7"
body="uacf7" "wpcf7"

GitHub About (EN)

CVE-2026-82901 PoC: WordPress Ultra Addons for Contact Form 7 ≤3.5.50 nicht authentifizierter Upload über Signatur + PDF Generator → uacf7-uploads/. PoCbit

Özet (TR)

CVE-2026-82901: Datei-Upload über das Signaturfeld bei aktivem UACF7 + PDF Generator; mit 3.5.51 wurde eine Typüberprüfung hinzugefügt.

Rechtliches

Nur autorisierte Tests.