CVE-2026-107652

اسم البرنامج المصاب والإصدارات المتأثرة Database Addon for Contact Form 7 – CFDB7 الإصدارات السابقة لـ 1.4.2

Description توجد مشكلة حذف ملفات تعسفية لأن المكون الإضافي يقوم بتخزين حقول إرسال ليست وسوم نماذج في صف db7 forms. يقوم معالج الحذف process bulk action() بتحديد أي مفتاح مخزن يحتوي على السلسلة النصية 'cfdb7 file' ويمرر القيمة المرتبطة به مباشرة إلى دالة unlink(). يحدث هذا دون التحقق مما إذا كان الملف ينتمي إلى عملية الإرسال التي يتم حذفها أو استخدام basename() أو realpath() لتقييد اسم الملف، مما يسمح للمهاجمين غير المصرح لهم بحقن حقل multipart مصمم خصيصاً لحذف الملفات.

Recommendations التحديث إلى إصدار أحدث من 1.4.1.