CVE-2026-5718
Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.7 — Неаутентифицированная произвольная загрузка файлов через обход чёрного списка имён файлов с не-ASCII символами
- Опубликовано
- 17 апр. 2026 г.
- Обновлено
- 27 мая 2026 г.
- Назначение CNA
- Wordfence
- Наблюдены доказательства
- 25 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 88,9 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Плагин Drag and Drop Multiple File Upload for Contact Form 7 для WordPress уязвим к произвольной загрузке файлов в версиях до 1.3.9.7 включительно. Это связано с недостаточной проверкой типа файлов, которая происходит при настройке пользовательских типов чёрного списка, заменяющих стандартный список запрещённых опасных расширений вместо объединения с ним, а также с обходом функции санитизации wpcf7_antiscript_file_name() для имён файлов, содержащих не-ASCII символы. Это позволяет неаутентифицированным злоумышленникам загружать произвольные файлы, такие как PHP-файлы, на сервер, что может быть использовано для достижения удалённого выполнения кода. Уязвимость была первоначально сообщена Леонидом Семененко (lsemenenko) и частично исправлена в версии 1.3.9.7. Обход патча был отдельно обнаружен и сообщён Нгуеном Хунгом (Mitchell).
Источники
http/cves/2026/CVE-2026-5718.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.