CVE-2020-35489 – Contact Form 7: Remote Code Execution critica

CVE-2020-35489 è una vulnerabilità di upload file non controllato nel plugin Contact Form 7 per WordPress, diffusissimo tra siti che usano form di contatto. Un difetto nella validazione dei nomi file con caratteri speciali permette l'esecuzione remota di codice arbitrario sul server. Il pericolo è altissimo per amministratori che non hanno aggiornato il plugin: compromesso totale della piattaforma WordPress.

La vulnerabilità è classificata critica con CVSS 10,0, il punteggio massimo. Il National Vulnerability Database (NVD) ha segnalato la falla il 17 dicembre 2020. Repository GitHub pubblici dichiarano di contenere exploit per questo CVE; attività recente (novembre 2026) su questi repository conferma che il rischio è ancora sfruttato. I siti non aggiornati restano esposti.

I difensori devono agire immediatamente: verificare la versione di Contact Form 7 installata nel backend WordPress, aggiornare a 5.3.2 o successiva, e controllare i log di accesso per eventuali upload sospetti. Se il sito è stato compromesso, isolarlo dalla rete, auditar i file non autorizzati e reimpostare tutte le credenziali di amministrazione. Non scaricare plugin da fonti sconosciute: usare solo il repository ufficiale di WordPress.