CVE-2026-114432 Carga arbitraria de archivos en Contact Form 7
El plugin Contact Form 7 antes de 6.2.4 no valida el tipo ni la extensión de los archivos subidos por un campo de archivo, y un fallo en la limpieza de archivos temporales deja el archivo en disco, permitiendo a usuarios no autenticados subir archivos arbitrarios. En una configuración Apache estándar de Debian u Ubuntu, que lista el contenido de directorios y asocia .phar al manejador PHP, el archivo puede localizarse y ejecutarse, lo que lleva a ejecución remota de código; en otras configuraciones el problema se…
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 40
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Contact Form 7
desde 6.2 hasta antes de 6.2.4
Qué hacer
- Verificá si usás Contact Form 7 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Contact Form 7 WordPress plugin before 6.2.4 does not validate the type or extension of files uploaded through a form file field, and a flaw in its temporary-file cleanup leaves the uploaded file on disk, allowing unauthenticated users to upload arbitrary files to the site. On a stock Debian or Ubuntu Apache configuration, which lists directory contents and maps .phar to the PHP handler, the stored file can be located and executed, leading to Remote Code Execution. On other configurations, including nginx and Apache with .htaccess overrides enabled, the issue is limited to an arbitrary file written into the uploads directory, which may still be served as active content such as HTML or SVG from the site's own origin.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.