CVE-2023-6449

El complemento Contact Form 7 para WordPress es vulnerable a cargas de archivos arbitrarias debido a una validación insuficiente del tipo de archivo en la función 'validar' y a una lista de bloqueo insuficiente en la función 'wpcf7_antiscript_file_name' en versiones hasta la 5.8.3 incluida. Esto hace posible que atacantes autenticados con capacidades de nivel de editor o superior carguen archivos arbitrarios en el servidor del sitio afectado, pero debido a la configuración de htaccess, el código remoto no se puede ejecutar en la mayoría de los casos. De forma predeterminada, el archivo se eliminará del servidor inmediatamente. Sin embargo, en algunos casos, otros complementos pueden hacer posible que el archivo permanezca más tiempo en el servidor. Esto puede hacer posible la ejecución remota de código cuando se combina con otra vulnerabilidad, como la inclusión de archivos locales.