CVE-2026-84750

Nome do Software Vulnerável e Versões Afetadas Ultra Addons for Contact Form 7 versões anteriores a 3.5.51

Descrição Usuários não autenticados podem fazer o upload de arquivos arbitrários porque o plugin não valida os tipos ou extensões de arquivos em um de seus campos de formulário. Os arquivos carregados são armazenados em um caminho público previsível com a extensão especificada pelo invasor. Em sistemas que utilizam pacotes Apache do Debian ou Ubuntu, onde o manipulador PHP mapeia arquivos .phar para PHP, isso pode levar à Execução Remota de Código e ao controle total do site. Em hosts que roteiam apenas arquivos .php para o manipulador PHP, o script carregado é servido a partir da origem do site, resultando em Stored Cross-Site Scripting (uma vulnerabilidade onde scripts maliciosos são armazenados permanentemente no servidor alvo e servidos a outros usuários).

Recomendações Atualize o Ultra Addons for Contact Form 7 para a versão 3.5.51 ou posterior.