CVE-2026-5710: Luki w wtyczce Drag and Drop Multiple File Upload dla Contact Form 7 w WordPress

Co wiadomo

Wtyczka Drag and Drop Multiple File Upload dla Contact Form 7 w WordPress do wersji 1.3.9.6 jest podatna na atak Path Traversal, umożliwiający nieautoryzowany odczyt plików. Luka wynika z braku odpowiedniej walidacji i sanitacji nazw plików przesyłanych przez użytkownika, co pozwala na dołączanie dowolnych plików jako załączników do maili.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą odczytać i wyeksfiltrować dowolne pliki dostępne dla procesu serwera WWW w katalogu wp-content, co może prowadzić do wycieku poufnych danych i naruszenia bezpieczeństwa systemu. Właściciele infrastruktury powinni traktować tę lukę jako poważne zagrożenie, zwłaszcza w środowiskach z wrażliwymi danymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Drag and Drop Multiple File Upload oraz jej aktualizację do wersji po załataniu luki. W przypadku braku łatki należy ograniczyć dostęp do katalogu wp-content, przejrzeć logi pod kątem podejrzanej aktywności oraz wprowadzić dodatkowe mechanizmy walidacji i filtrowania przesyłanych plików. Priorytetowo należy zabezpieczyć serwery obsługujące formularze kontaktowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference