CVE-2026-5710

WordPress üçün olan Drag and Drop Multiple File Upload for Contact Form 7 plagini 1.3.9.6 versiyası daxil olmaqla bütün əvvəlki versiyalarda ixtiyari faylların oxunmasına səbəb olan Path Traversal zəifliyinə malikdir. Bu, plagin tərəfindən müştəri tərəfindən təmin edilən mfile[] POST dəyərlərinin, server tərəfində yükləmə mənbəyi yoxlaması, yolun kanonizasiyası və ya kataloq sərhədinin tətbiqi aparılmadan e-poçt qoşmaları seçimi üçün əsas götürülməsi ilə bağlıdır. dnd_wpcf7_posted_data() funksiyasında istifadəçi tərəfindən göndərilən hər bir fayl adı heç bir təmizləmə prosesi olmadan birbaşa plaginin yükləmə URL-nə əlavə edilir. dnd_cf7_mail_components() funksiyasında URL, str_replace() vasitəsilə yenidən fayl sistemi yoluna çevrilir və faylı çıxan CF7 e-poçtuna əlavə etməzdən əvvəl qəbul yoxlaması kimi yalnız file_exists() istifadə olunur. Bu, autentifikasiya olunmamış hücumçulara mfile[] parametrində path traversal ardıcıllıqları vasitəsilə veb server prosesi tərəfindən oxuna bilən ixtiyari faylları oxumağa və sızdırmağa imkan verir; həmin fayllar e-poçt qoşmaları şəklində açıqlanır. Qeyd: Contact Form 7 plaginindəki wpcf7_is_file_path_in_content_dir() funksiyası səbəbindən bu zəiflik yalnız 'wp-content' qovluğu ilə məhdudlaşır.