Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-107652 Eliminación limitada de archivos en Database Addon for Contact Form 7 vía campo 'attackcfdb7_file'

El plugin Database Addon for Contact Form 7 – CFDB7 para WordPress es vulnerable a eliminación arbitraria de archivos en versiones hasta la 1.4.1 inclusive. El plugin almacena campos de envío arbitrarios en la fila db7_forms y el manejador process_bulk_action() busca claves que contengan 'cfdb7_file' y pasa el valor almacenado a unlink() sin validar que el archivo pertenezca al envío ni restringir el nombre con basename()/realpath(). Atacantes no autenticados pueden inyectar un campo multipart manipulado.

Alerta de Nureq Monitor

Detectada 14 OCT · 01:18

CVSS 3.1

5.3MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 22

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-107652

El plugin Database Addon for Contact Form 7 – CFDB7 para WordPress es vulnerable a eliminación arbitraria de archivos en versiones hasta la 1.4.1 inclusive. El plugin almacena campos de envío arbitrarios en la fila db7_forms y el manejador process_bulk_action() busca claves que contengan 'cfdb7_file' y pasa el valor almacenado a unlink() sin validar que el archivo pertenezca al envío ni restringir el nombre con basename()/realpath(). Atacantes no autenticados pueden inyectar un campo multipart manipulado.

Productos y versiones afectadas

  • arshidkv12 Database Addon for Contact Form 7 – CFDB7

    • hasta 1.4.1

Qué hacer

  1. Verificá si usás Database Addon for Contact Form 7 – CFDB7 y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Ninguna
INTEGRIDAD (I)
Baja
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The Database Addon for Contact Form 7 – CFDB7 plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 1.4.1. This is due to the plugin storing arbitrary (non-form-tag) submission fields in its db7_forms row and the process_bulk_action() delete handler then matching any stored key whose name contains the substring 'cfdb7_file' and passing the stored value directly to unlink() without validating that the file actually belongs to the submission being deleted or constraining the filename with basename()/realpath(). This makes it possible for unauthenticated attackers to inject a crafted multipart field.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.