CVE-2026-82901 — Ultra Addons for Contact Form 7 (загрузка файлов)

PoC на Python 3 для CVE-2026-82901 — Ultra Addons for Contact Form 7 (Themefic) ≤ 3.5.50.

Описание (PoCbit / GitHub)

CVE-2026-82901 — неаутентифицированная произвольная загрузка файлов (CWE-434) в uacf7_wpcf7_mail_components внутри дополнения PDF Generator. Загруженные файлы подписей копируются в /wp-content/uploads/uacf7-uploads/ со слабой проверкой, что позволяет RCE, если PHP выполняется в каталоге uploads. CVSS 3.1 9.8 Critical (PR:N). Исправление: > 3.5.51 (Wordfence / changeset 3698232).

Условие: модуль PDF Generator включён в форме с uacf7_signature (модуль по умолчанию выключен).

Страница PoC: https://pocbit.org/pocs/cve-2026-82901

PoCbit

Плагин	ultimate-addons-for-contact-form-7
Уязвимые версии	≤ 3.5.50
Исправлено	3.5.51+
Вектор	CF7 REST feedback + поле файла подписи
Путь записи	wp-content/uploads/uacf7-uploads/

Использование

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --form-url "https://wordpress.example/contact/"
python poc.py -u https://wordpress.example --mode exploit --form-url "https://wordpress.example/contact/"
python poc.py --list targets.example.txt --mode check -j 10

FOFA / Google

body="/wp-content/plugins/ultimate-addons-for-contact-form-7"
body="uacf7" "wpcf7"

GitHub About (EN)

PoC для CVE-2026-82901: WordPress Ultra Addons for Contact Form 7 ≤3.5.50 неаутентифицированная загрузка через signature + PDF Generator → uacf7-uploads/. PoCbit

Özet (TR)

CVE-2026-82901: при включённом UACF7 + PDF Generator загрузка файла через поле подписи; в 3.5.51 добавлена проверка типа.

Правовая информация

Только авторизованное тестирование.