CVE-2026-94589 · CVSS 9.8 · The Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) plugin for WordPress is vulnerable to Arbitrary File …

NVD (CVSS crítico) · 10 oct, 06:18

El plugin Extensions For CF7 para WordPress es vulnerable a carga arbitraria de archivos en todas las versiones hasta la 3.4.5. Un atacante no autenticado puede subir archivos ejecutables a través de la función extcf7_submit, explotando la falta de validación de extensión de archivo, tipo MIME, tamaño y un bypass de sanitize_file_name() que convierte shell.php- en shell.php, permitiendo ejecución remota de código.