CVE-2026-107652

Vulnérabilité moyenne dans Database Addon for Contact Form 7 – CFDB7 (arshidkv12)

CVSS 5.3 · Moyenne

EPSS 0.3%

arshidkv12•Database Addon for Contact Form 7 – CFDB7•Versions : 0, <=1.4.1

Description

The Database Addon for Contact Form 7 – CFDB7 plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 1.4.1. This is due to the plugin storing arbitrary (non-form-tag) submission fields in its db7_forms row and the process_bulk_action() delete handler then matching any stored key whose name contains the substring 'cfdb7_file' and passing the stored value directly to unlink() without validating that the file actually belongs to the submission being deleted or constraining the filename with basename()/realpath(). This makes it possible for unauthenticated attackers to inject a crafted multipart field.

Gravité et risque d'exploitation

CVE-2026-107652 obtient un score CVSS de 5.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.31 %, ce qui la place devant 22.1 % des CVE référencées.

Que faire ?

Vérifiez si Database Addon for Contact Form 7 – CFDB7 (versions 0, <=1.4.1) est présent sur votre parc.
Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

CVE-2026-107652

Description

Gravité et risque d'exploitation

Que faire ?

Références