CVE-2026-82901 — Ultra Addons for Contact Form 7 (Caricamento file)

PoC in Python 3 per CVE-2026-82901 — Ultra Addons for Contact Form 7 (Themefic) ≤ 3.5.50.

Descrizione (PoCbit / GitHub)

CVE-2026-82901 — Caricamento arbitrario di file non autenticato (CWE-434) in uacf7_wpcf7_mail_components all'interno dell'addon PDF Generator. I file di firma caricati vengono copiati in /wp-content/uploads/uacf7-uploads/ con validazione debole, consentendo RCE quando PHP viene eseguito sotto uploads. CVSS 3.1 9.8 Critico (PR:N). Correzione: > 3.5.51 (Wordfence / changeset 3698232).

Condizione: modulo PDF Generator abilitato su un form con uacf7_signature (modulo disattivato per impostazione predefinita).

Pagina PoC: https://pocbit.org/pocs/cve-2026-82901

PoCbit

Plugin	ultimate-addons-for-contact-form-7
Affetto	≤ 3.5.50
Corretto	3.5.51+
Vettore	CF7 REST feedback + campo file firma
Percorso di scrittura	wp-content/uploads/uacf7-uploads/

Utilizzo

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --form-url "https://wordpress.example/contact/"
python poc.py -u https://wordpress.example --mode exploit --form-url "https://wordpress.example/contact/"
python poc.py --list targets.example.txt --mode check -j 10

FOFA / Google

body="/wp-content/plugins/ultimate-addons-for-contact-form-7"
body="uacf7" "wpcf7"

GitHub About (EN)

CVE-2026-82901 PoC: WordPress Ultra Addons for Contact Form 7 ≤3.5.50 caricamento non autenticato tramite firma + PDF Generator → uacf7-uploads/. PoCbit

Özet (TR)

CVE-2026-82901: Con UACF7 + PDF Generator attivo, caricamento di file tramite il campo firma; con la 3.5.51 è stato aggiunto il controllo del tipo.

Note legali

Solo test autorizzati.