CVE-2026-102435: Cancellazione file arbitraria in Ultra Addons CF7

Ultra Addons for Contact Form 7 è un plugin WordPress diffuso per moduli di contatto e PDF. Il CVE-2026-102435 espone una vulnerabilità critica di cancellazione arbitraria di file nella funzione _getObjAttr per validazione insufficiente dei percorsi. Sfrutta il gadget chain WPCF7_Submission via __destruct() ed è accessibile a utenti non autenticati: consente di eliminare qualsiasi file del server, inclusi wp-config.php, aprendo la strada a esecuzione remota di codice (RCE).

La gravità è dichiarata critica con CVSS 9,8: accesso senza autenticazione, impatto totale su riservatezza, integrità e disponibilità. Il CVE è stato pubblicato da NVD il 2026-11-02 ed è stato amplificato su canali social a partire da ieri con coerenza riguardo al punteggio CVSS e alle versioni interessate. Al momento della pubblicazione non sono segnalati exploit pubblici disponibili, ma la semplicità della metodologia di sfruttamento e la vastità del potenziale impatto rendono l'aggiornamento immediato prioritario.

Amministratori IT e CISO devono identificare subito istanze WordPress con Ultra Addons for Contact Form 7 versione 3.5.54 o inferiore, soprattutto quelle con PDF Generator add-on attivo. L'azione prioritaria è aggiornare a versione 3.5.55 o successive.

Se l'aggiornamento immediato non è possibile, disabilitare il PDF Generator o la configurazione di Contact Form 7 per PDF generation riduce il vettore di attacco. Monitorate i log di accesso web per pattern sospetti di richieste verso endpoint di moduli di contatto.