Contact Form 7: wgrywanie dowolnych plików (CVE-2026-114432)
Opublikowano podatność CVE-2026-114432 (CVSS 9.8) we wtyczce Contact Form 7 dla WordPressa. Wtyczka nie sprawdza typu ani rozszerzenia plików przesyłanych przez pole pliku, a błąd czyszczenia plików tymczasowych pozostawia przesłany plik na dysku.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z Contact Form 7 w wersji niższej niż 6.2.4. Na standardowym Apache w Debianie lub Ubuntu (listowanie katalogów, .phar przekazywany do PHP) może to prowadzić do zdalnego wykonania kodu. Na nginx lub Apache z .htaccess plik trafia do uploads i może być serwowany jako HTML lub SVG.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i sprawdź wersję Contact Form 7. Poniżej 6.2.4 strona jest podatna. Sprawdź też katalog uploads pod kątem nieznanych plików, np. .phar, .php, .html, .svg.
Jak naprawić
Zaktualizuj Contact Form 7 do wersji 6.2.4, która zawiera poprawkę. Nieznane pliki w uploads warto sprawdzić i usunąć.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności w atakach nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-114432.
