CVE-2026-5718

ВысокийОпубликовано

Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.7 — Неаутентифицированная произвольная загрузка файлов через обход чёрного списка имён файлов с не-ASCII символами

Опубликовано: 17 апр. 2026 г.
Обновлено: 27 мая 2026 г.
Назначение CNA: Wordfence
Наблюдены доказательства: 25 авг. 2026 г.

Первичный CVSS

8,1/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

4,2 %

Низкий · следующие 30 дней

Процентиль: 90,5 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Плагин Drag and Drop Multiple File Upload for Contact Form 7 для WordPress уязвим к произвольной загрузке файлов в версиях до 1.3.9.7 включительно. Это связано с недостаточной проверкой типа файлов, которая происходит при настройке пользовательских типов чёрного списка, заменяющих стандартный список запрещённых опасных расширений вместо объединения с ним, а также с обходом функции санитизации wpcf7_antiscript_file_name() для имён файлов, содержащих не-ASCII символы. Это позволяет неаутентифицированным злоумышленникам загружать произвольные файлы, такие как PHP-файлы, на сервер, что может быть использовано для достижения удалённого выполнения кода. Уязвимость была первоначально сообщена Леонидом Семененко (lsemenenko) и частично исправлена в версии 1.3.9.7. Обход патча был отдельно обнаружен и сообщён Нгуеном Хунгом (Mitchell).

Источники

CVE-2026-5718-LabPoC
Локальная Docker-лаборатория, демонстрирующая CVE-2026-5718 — произвольную загрузку файлов в плагине WordPress, с уязвимыми и пропатченными сервисами для параллельного анализа эксплуатации и защиты.
CVE-2026-5718Эксплойт
CVE-2026-5718: Неаутентифицированная загрузка файлов до RCE в плагине DnD Upload CF7

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.