CVE-2026-109218— Contact Manager 9.1.2 远程文件上传漏洞
一分钟漏洞结论
影响对象
kleor Contact Manager
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
WordPress 的 Contact Manager 插件在所有 9.1.2 及以下版本中，通过 函数存在任意文件上传漏洞。该漏洞源于扩展名黑名单不完整：当文件名末尾包含一个点（trailing dot）时，扩展名推导逻辑会返回空字符串，随后 会静默移除该空字符串，导致文件在写入磁盘前未能被有效拦截。这使得未认证的攻击者能够上传可能具有可执行权限的文件，进而实现远程代码执行（RCE）。成功执行代码还需满足以下条件：服务器需运行 Apache 并启用 模块（该模块默认将 文件映射为 PHP 脚本执行），且攻击者必须
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-109218 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Contact Manager <= 9.1.2 - Unauthenticated Arbitrary File Upload via Trailing-Dot Filename Blacklist Bypass
来源: CVE Program / CVE List V5
Vulnerability Description
The Contact Manager plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 9.1.2 via the add_message function. This is due to an incomplete extension blacklist that fails to detect dangerous extensions when a trailing dot causes the extension-derivation routine to return an empty string, which sanitize_file_name() then silently removes before the file is written to disk. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. Successful code execution additionally requires the server to use Apache with libapache2-mod-php (which maps .phar to PHP by default) and the attacker to retrieve the uploaded file within the brief window before it is removed by unlink() at end of request.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
危险类型文件的不加限制上传
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| kleor | Contact Manager | 0 ~ 9.1.2 | - |
|
二、漏洞 CVE-2026-109218 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-109218 的情报信息
请登录查看更多情报信息。