CVE-2026-114432

Nome do Software Vulnerável e Versões Afetadas Contact Form 7 versões anteriores a 6.2.4

Description Uma falha de upload de arquivos não autenticados permite que atacantes remotos façam o upload de arquivos arbitrários para um site através de um campo de arquivo de formulário, pois o plugin não valida os tipos ou extensões de arquivos. Uma falha na limpeza de arquivos temporários mantém o arquivo enviado no disco. Este problema afeta potencialmente mais de 5 milhões de sites WordPress. Em configurações padrão do Apache no Debian ou Ubuntu, que listam conteúdos de diretórios e mapeiam arquivos .phar para o manipulador PHP, isso pode levar à Execução Remota de Código (RCE), que é a capacidade de executar comandos arbitrários no servidor. Em outras configurações, como nginx ou Apache com substituições de .htaccess, a falha permite que arquivos arbitrários sejam gravados no diretório de uploads, podendo ser servidos como conteúdo ativo, como HTML ou SVG.

Recommendations Atualize o Contact Form 7 para a versão 6.2.4 ou posterior.