CVE-2025-8289

WordPress üçün Redirection for Contact Form 7 plagini, 3.2.4 daxil olmaqla bütün versiyalarda, delete_associated_files funksiyasındakı etibarsız girişin deserializasiyası vasitəsilə PHP Object Injection zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara PHP obyektinin inyeksiya edilməsini mümkün edir. Bu zəiflik, saytda fayl yükləmə hərəkətinə malik forma olduqda autentifikasiya olunmamış hücumçular tərəfindən istismar edilə bilər və PHP versiyası > 8 olan saytlara təsir etmir. Zəifliyin istismarı üçün həmçinin 'Redirection For Contact Form 7 Extension - Create Post' genişlənməsinin quraşdırılmış və aktiv edilmiş olması tələb olunur. Zəifliyə malik proqram təminatında məlum POP zənciri mövcud deyil, bu isə o deməkdir ki, sayta POP zənciri ehtiva edən başqa bir plagin və ya mövzu quraşdırılmadıqca bu zəifliyin heç bir təsiri yoxdur. Hədəf sistemdə əlavə plagin və ya mövzu vasitəsilə POP zənciri mövcuddursa, bu, hücumçuya mövcud POP zəncirindən asılı olaraq ixtiyari faylların silinməsi, həssas məlumatların əldə edilməsi və ya kodun icrası kimi hərəkətləri yerinə yetirməyə imkan verə bilər. Biz təsdiqləmişik ki, Contact Form 7 plaginində bu plaginlə birlikdə quraşdırıldıqda ixtiyari faylların silinməsini mümkün edən istifadə edilə bilən gadget mövcuddur. Contact Form 7-nin bu plagin üçün tələb olduğu nəzərə alınarsa, bu plagin və 'Redirection For Contact Form 7 Extension - Create Post' genişlənməsi aktiv olan istənilən saytın ixtiyari faylların silinməsi zəifliyinə malik olması ehtimal olunur.