CVE-2026-94589

Nome do Software Vulnerável e Versões Afetadas Extensions For CF7 versões anteriores a 3.4.6

Descrição Uma falha de upload arbitrário de arquivos existe na função extcf7 submit. O problema decorre da ausência de validação de extensão de arquivo, tipo MIME e tamanho dentro do validation filter() do campo de assinatura. Além disso, um bypass da função sanitize file name() permite a conversão de nomes de arquivos como shell.php- para shell.php. Combinado com a falta de proteções de execução de PHP no diretório de upload, invasores não autenticados podem fazer o upload de arquivos executáveis, potencialmente levando à execução remota de código (RCE), que é a capacidade de executar comandos arbitrários no servidor.

Recomendações Atualize o Extensions For CF7 para a versão 3.4.6 ou posterior. Restrinja a funcionalidade do formulário vulnerável até que a atualização seja aplicada. Bloqueie a execução de PHP nos diretórios de upload.