CVE-2025-7384
Açıklama
WordPress için geliştirilen Database for Contact Form 7, WPforms, Elementor forms eklentisinin 1.4.3 sürümü dahil tüm önceki sürümleri, get_lead_detail fonksiyonundaki güvenilmeyen girdilerin serileştirmesi (deserialization) nedeniyle PHP Object Injection zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların bir PHP Nesnesi enjekte etmesini mümkün kılar. Muhtemelen birlikte kullanılan Contact Form 7 eklentisindeki ek bir POP zincirinin varlığı, saldırganların rastgele dosyaları silmesine olanak tanır; bu da wp-config.php dosyasının silinmesi durumunda hizmet reddi veya uzaktan kod çalıştırmaya yol açar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| crmperks Database for Contact Form 7, WPforms, Elementor forms | v ≤ 1.4.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.