Contact Form 7: carga de archivos arbitrarios (CVE-2026-114432)
Se publicó la vulnerabilidad CVE-2026-114432 (CVSS 9.8) en el plugin Contact Form 7 de WordPress. El plugin no valida el tipo ni la extensión de los archivos subidos por un campo de archivo, y un fallo en la limpieza de archivos temporales deja el archivo en el disco.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con Contact Form 7 anterior a 6.2.4. En un Apache estándar de Debian o Ubuntu (listado de directorios, .phar asignado a PHP) puede llevar a ejecución remota de código. En nginx o Apache con .htaccess, el archivo se escribe en uploads y puede servirse como HTML o SVG.
Cómo comprobar
En el administrador de WordPress abre Plugins y revisa la versión de Contact Form 7. Si es anterior a 6.2.4, el sitio está afectado. Revisa también el directorio uploads por archivos desconocidos como .phar, .php, .html o .svg.
Cómo corregirlo
Actualiza Contact Form 7 a la versión 6.2.4, que incluye la corrección. Revisa y elimina los archivos desconocidos que encuentres en uploads.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha divulgado si la falla se explota activamente. Fuente: NVD, CVE-2026-114432.
