Contact Form 7: завантаження довільних файлів (CVE-2026-114432)
У плагіні Contact Form 7 для WordPress знайдено вразливість CVE-2026-114432 (CVSS 9.8). Плагін не перевіряє тип і розширення файлів із поля завантаження, а через помилку очищення тимчасових файлів завантажений файл залишається на диску.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress із Contact Form 7 до версії 6.2.4. На стандартному Apache в Debian або Ubuntu (лістинг каталогів, .phar передається в PHP) можливе виконання коду (RCE). На nginx та Apache з .htaccess файл потрапляє в uploads і може віддаватися як HTML або SVG.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» і перегляньте версію Contact Form 7. Якщо вона нижча за 6.2.4, сайт зачеплено. Також перевірте каталог uploads на незнайомі файли, наприклад .phar, .php, .html, .svg.
Як виправити
Оновіть Contact Form 7 до версії 6.2.4, у якій проблему виправлено. Незнайомі файли в uploads варто перевірити й видалити.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про використання вразливості в атаках поки немає. Джерело: NVD, CVE-2026-114432.
