CVE-2026-82901 — Ultra Addons for Contact Form 7（文件上传）

针对 CVE-2026-82901 的 Python 3 PoC — Ultra Addons for Contact Form 7（Themefic）≤ 3.5.50。

描述（PoCbit / GitHub）

CVE-2026-82901 — PDF Generator 插件中的 uacf7_wpcf7_mail_components 存在未认证的任意文件上传（CWE-434）。上传的签名文件在校验薄弱的情况下被复制到 /wp-content/uploads/uacf7-uploads/，当 PHP 在 uploads 目录下运行时即可实现 RCE。CVSS 3.1 9.8 严重（PR:N）。修复版本：> 3.5.51（Wordfence / changeset 3698232）。

条件： 在带有 uacf7_signature 的表单上启用 PDF Generator 模块（该模块默认关闭）。

PoC 页面： https://pocbit.org/pocs/cve-2026-82901

PoCbit

插件	ultimate-addons-for-contact-form-7
受影响版本	≤ 3.5.50
修复版本	3.5.51+
攻击向量	CF7 REST feedback + 签名字段
写入路径	wp-content/uploads/uacf7-uploads/

用法

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --form-url "https://wordpress.example/contact/"
python poc.py -u https://wordpress.example --mode exploit --form-url "https://wordpress.example/contact/"
python poc.py --list targets.example.txt --mode check -j 10

FOFA / Google

body="/wp-content/plugins/ultimate-addons-for-contact-form-7"
body="uacf7" "wpcf7"

GitHub 简介（英文）

CVE-2026-82901 PoC：WordPress Ultra Addons for Contact Form 7 ≤3.5.50 通过签名 + PDF Generator 实现未认证上传 → uacf7-uploads/。PoCbit

摘要（土耳其语）

CVE-2026-82901： 启用 UACF7 + PDF Generator 时，可通过签名字段上传文件；3.5.51 已添加类型检查。

法律声明

仅限授权测试。