CVE-2026-102435

Nome do Software Vulnerável e Versões Afetadas Ultra Addons for Contact Form 7 versões anteriores a 3.5.55

Descrição A validação insuficiente do caminho do arquivo na função getObjAttr() permite que atacantes não autenticados excluam arquivos arbitrários no servidor. Este problema pode levar à execução remota de código se arquivos críticos, como wp-config.php, forem excluídos. A exploração requer que o add-on PDF Generator esteja ativo e que um formulário do Contact Form 7 esteja configurado para geração de PDF, pois o processo utiliza a cadeia de gadgets POP WPCF7 Submission para executar a exclusão via destruct().

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, desative o recurso de gerador de PDF.