Contact Form 7: upload de arquivos arbitrários (CVE-2026-114432)
Foi publicada a vulnerabilidade CVE-2026-114432 (CVSS 9.8) no plugin Contact Form 7 do WordPress. O plugin não valida o tipo nem a extensão dos arquivos enviados por um campo de arquivo, e uma falha na limpeza de arquivos temporários deixa o arquivo no disco.
Verificado no Shield: não
Quem é afetado
Sites WordPress com Contact Form 7 anterior à 6.2.4. Em um Apache padrão do Debian ou Ubuntu (listagem de diretórios, .phar associado ao PHP) pode levar à execução remota de código. Em nginx ou Apache com .htaccess, o arquivo é gravado em uploads e pode ser servido como HTML ou SVG.
Como verificar
No painel do WordPress, abra Plugins e veja a versão do Contact Form 7. Se for anterior à 6.2.4, o site está afetado. Verifique também o diretório uploads em busca de arquivos desconhecidos, como .phar, .php, .html ou .svg.
Como corrigir
Atualize o Contact Form 7 para a versão 6.2.4, que contém a correção. Revise e remova arquivos desconhecidos encontrados em uploads.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada em ataques. Fonte: NVD, CVE-2026-114432.
