CVE-2026-5718

高公開済み

ドラッグ＆ドロップ複数ファイルアップロード for Contact Form 7 <= 1.3.9.7 - 非ASCIIファイル名ブラックリストバイパスによる未認証の任意ファイルアップロード

公開済み: 2026/04/17
更新済み: 2026/05/27
CNA の割り当て: Wordfence
観察された証拠: 2026/08/25

プライマリ CVSS

8.1/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

4.2%

低 · 今後 30 日間

パーセンタイル: 90.5%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

# Contact Form 7用ドラッグ＆ドロップ複数ファイルアップロードプラグインの脆弱性 WordPress用プラグイン「Drag and Drop Multiple File Upload for Contact Form 7」は、バージョン1.3.9.7以前において、任意のファイルアップロードに対して脆弱です。これは、カスタムブラックリストタイプが設定された際に発生する不十分なファイルタイプ検証に起因します。この設定では、デフォルトの危険な拡張子拒否リストとマージされるのではなく置き換えられ、さらに非ASCII文字を含むファイル名に対してwpcf7_antiscript_file_name()サニタイズ関数がバイパスされます。これにより、認証されていない攻撃者がPHPファイルなどの任意のファイルをサーバーにアップロードできる可能性があり、これを悪用してリモートコード実行を達成できます。この脆弱性は当初、Leonid Semenenko（lsemenenko）氏によって報告され、バージョン1.3.9.7で部分的に修正されました。パッチのバイパス方法は、Nguyen Hung（Mitchell）氏によって別途発見され、報告されました。

ソース

CVE-2026-5718-LabPoC
CVE-2026-5718のWordPressプラグインにおける任意のファイルアップロードを実証するローカルDockerラボ。脆弱なサービスとパッチ適用済みのサービスを並べて、攻撃と防御の分析をside-by-sideで行えます。
CVE-2026-5718エクスプロイト
CVE-2026-5718: DnD Upload CF7プラグインでの認証なしファイルアップロードからRCEへ
cve-2026-5718PoC
CVE-2026-5718のエクスプロイトコード。指定された脆弱性を標的とするPHPベースの概念実証です。

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。