Contact Form 7: загрузка произвольных файлов (CVE-2026-114432)
В плагине Contact Form 7 для WordPress найдена уязвимость CVE-2026-114432 (CVSS 9.8). Плагин не проверяет тип и расширение файлов из поля загрузки, а из-за ошибки очистки временных файлов загруженный файл остаётся на диске.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с Contact Form 7 до версии 6.2.4. На стандартном Apache в Debian или Ubuntu (листинг каталогов, .phar передаётся в PHP) возможно выполнение кода (RCE). На nginx и Apache с .htaccess файл попадает в uploads и может отдаваться как HTML или SVG.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и посмотрите версию Contact Form 7. Если она ниже 6.2.4, сайт затронут. Также проверьте каталог uploads на незнакомые файлы, например .phar, .php, .html, .svg.
Как исправить
Обновите Contact Form 7 до версии 6.2.4, в которой проблема исправлена. Незнакомые файлы в uploads стоит проверить и удалить.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об использовании уязвимости в атаках пока нет. Источник: NVD, CVE-2026-114432.
