Falha 9.8 em plugin WordPress permite que atacantes sem login apaguem arquivos e tomem conta de sites

Uma falha de severidade máxima no plugin Ultra Addons for Contact Form 7, registrada como CVE-2026-102435, chega com nota 9.8 e afeta todas as versões até a 3.5.54. O problema é uma cadeia de injeção de objetos PHP que não exige autenticação alguma, ou seja, qualquer pessoa na internet pode acionar o gatilho.

O caminho do ataque é agressivo: os criminosos exploram a validação insuficiente de caminho de arquivo dentro da função _getObjAttr para apagar arquivos arbitrários no servidor. Apagar o arquivo errado, como o wp-config.php, abre caminho para execução remota de código e transforma um bug de plugin em sequestro completo do site.

Existe um detalhe que reduz um pouco o alcance: o add-on PDF Generator precisa estar ativo e um formulário do Contact Form 7 deve estar configurado para gerar PDF. Se esse é o seu cenário, atualize o plugin imediatamente, desative o complemento se não usa e trate isso como emergência de segurança, não como tarefa de fim de semana.