CVE-2026-84750
Təsvir
Contact Form 7 üçün olan Ultra Addons WordPress plagini 3.5.51 versiyasından əvvəlki versiyalarda form sahələrindən bir vasitəsilə yüklənən faylların tipini və ya genişlənməsini yoxlamır və onları hücumçunun seçdiyi genişlənmə ilə proqnozlaşdırıla bilən açıq yolda saxlayır ki, bu da autentifikasiya olunmamış istifadəçilərə ixtiyari faylları yükləməyə imkan verir. Debian və Ubuntu Apache paketləri ilə standart olaraq təmin edilən PHP handler, .phar genişlənməsini .php və .phtml ilə yanaşı PHP-yə yönləndirir, buna görə də həmin konfiqurasiyada yüklənmiş fayl icra edilir və bu problem uzaqdan kodun icrasına (Remote Code Execution) və saytın tam nəzarətinin ələ keçirilməsinə səbəb olur. Host yalnız .php fayllarını PHP handler-ə yönləndirdiyi hallarda isə eyni fayl skripti ilə birlikdə saytın öz mənşəyindən təqdim edilir ki, bu da Saxlanılmış Saytlararası Skriptinqə (Stored Cross-Site Scripting) gətirib çıxarır.
Necə düzəltmək olar
- Ultra Addons for Contact Form 73.5.51 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Ultra Addons for Contact Form 7 | 3.2.4 ≤ v < 3.5.51 | 3.5.51 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.