Drag and Drop Multiple File Upload – Contact Form 7 Plugin: Arbitrary File Upload

Beschreibung

Das WordPress-Plugin Drag and Drop Multiple File Upload – Contact Form 7 ist bis einschliesslich Version 1.3.7.3 anfällig für das Hochladen beliebiger Dateien, da die Funktion dnd_upload_cf7_upload Dateitypen unzureichend prüft. Nicht authentifizierte Angreifer können dadurch beliebige Dateien auf den Server der betroffenen Website laden, was Remote Code Execution ermöglichen kann. Voraussetzung ist, dass ein Benutzer mit mindestens Editor-Rechten ein Formularfeld für Mehrfach-Uploads mit dem Dateityp-Platzhalter Stern angelegt hat. CVSS-Basiswert: 8.1 (Hoch).

Changelog

1. 2026-07-26 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Phoenix Contact

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• All Post Contact Form (WordPress): Upload gefährlicher Dateitypen ermöglicht Web-Shell CVE-2024-50523
• ARForms-Plugin (Contact Form, Survey, Quiz & Popup Form Builder) für WordPress: PHP Object Injection CVE-2024-13784
• WP Insightly: Nicht authentifizierte PHP Object Injection (<= 1.1.4) CVE-2026-49085
• Integration for Keap/Infusionsoft und Formular-Plugins: Unauthentifizierte PHP Object Injection CVE-2026-49104