Contact Form 7 在 2026 年 10 月 29 日發布 6.2.4，修補 6.2 至 6.2.3 無須登入即可觸發的任意檔案上傳問題。網站若使用這幾個版本，尤其有履歷、報價或客服附件欄位，應核對外掛更新；更新後還要確認正常附件的檔名與表單功能。
受影響版本有明確下限
原廠將這次漏洞範圍限定在 6.2、6.2.1、6.2.2 與 6.2.3，並建議所有使用者取得安全強化。不能因為某站使用較舊版本，就直接把這個漏洞判定套上去；但較舊版本是否有其他問題，仍需分開查。
原廠描述的目標情境包括有檔案上傳欄位的表單，以及 HTTP 伺服器允許公開列出目錄內容。多個處理缺陷可能讓本應擋下或移除的上傳檔案留下來。實際後果仍取決於檔案能否被找到及伺服器如何處理它，不能只看到「任意檔案上傳」就斷言任何網站都已能執行 PHP。
6.2.4 改了檔名處理，正常附件也要驗
修補將可執行檔名的處理由封鎖清單改為允許清單。不在清單中的副檔名會被轉成安全替代形式；預設包含多種影音、圖片，以及 PDF、TXT，卻不包含所有辦公文件與壓縮檔類型。
接受 Word 文件、試算表或 ZIP 的表單，更新後應逐種測試實際檔名與附件結果。需要調整時，原廠提供 wpcf7_file_extension_safelist filter；請維護者只加入業務必需的類型，保留其他檢查，不要為了恢復一個上傳用途便放行全部格式。
先核對相容性，再安排部署
6.2.4 是這項漏洞的修補門檻，後續包含修補的版本也可採用。官方外掛資料列出 WordPress 7.1 或更新版本、PHP 8.3 或更新版本的要求；仍在較舊核心的網站，應先由維護者安排相容性與更新順序，避免直接在正式站跨版後才發現表單無法使用。
更新前保存外掛設定與可回復備份，部署後測試送信、驗證失敗、合法附件及不允許的檔案類型。若網站自訂程式直接呼叫 wpcf7_unship_uploaded_file()，也要核對此次函數參數變更。暫時關閉上傳欄位只能縮小功能入口，不能當作已安裝修補。
資料核對日期：2026 年 11 月 3 日。此文依原廠 10 月 29 日公告整理，非宣稱今日首次揭露；封面為 AI 生成的概念插畫。
