„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-18781 betrifft das WordPress-Plugin „Drag and Drop Multiple File Upload for Contact Form 7“ in Versionen vor 1.3.9.9. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, Dateityp-Beschränkungen zu umgehen und beliebigen Code auf dem betroffenen Server auszuführen. Mit einem CVSS-Score von 8.1 wird die Lücke als „High“ eingestuft.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem Plugin „Drag and Drop Multiple File Upload for Contact Form 7“ in den Versionen:
- Alle Versionen vor 1.3.9.9
- Besonders kritisch für öffentliche Kontaktformulare
Das Plugin wird von Websites mit Contact Form 7 Integration für erweiterte Datei-Upload-Funktionalität eingesetzt.
Technische Details
Die Verwundbarkeit liegt in der unzureichenden Validierung von Dateinamen nach der Bereinigung von Sonderzeichen. Das Plugin führt eine Zeichenbereinigung durch, überprüft jedoch nicht, ob der resultierende Dateiname den erlaubten Dateitypen entspricht.
Ein Angreifer kann diese Lücke ausnutzen, indem er:
- Manipulierte Dateinamen mit Sonderzeichen einreicht
- Nach der Bereinigung eine ausführbare Datei (z.B. .php) resultiert
- Die Datei als zulässiger Typ (z.B. .jpg) interpretiert wird
- Remote Code Execution (RCE) auf dem Server ausgelöst wird
Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Plugin auf Version 1.3.9.9 oder höher aktualisieren
- Validierung: Dateiendungen nach Bereinigung erneut prüfen
- File-Type-Whitelist: Strikte Whitelist erlaubter Dateitypen implementieren
- Upload-Verzeichnis: Uploads außerhalb des Web-Root speichern
- Monitoring: Verdächtige Upload-Aktivitäten überwachen
Bewertung
CVSS 8.1 (High): Remote Code Execution ohne Authentifizierung darstellt erhebliches Risiko. Dringend zu beheben. Derzeit liegt kein Patch vor, Workarounds sind empfohlen.
„`