CVE-2025-8289

WordPress için Redirection for Contact Form 7 eklentisi, 3.2.4 dahil tüm önceki sürümlerde, delete_associated_files fonksiyonundaki güvenilmeyen girdilerin serileştirmesi (deserialization) nedeniyle PHP Object Injection zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların bir PHP Nesnesi enjekte etmesini mümkün kılar. Bu zafiyet, sitede dosya yükleme işlemi olan bir form bulunduğunda kimliği doğrulanmamış saldırganlar tarafından istismar edilebilir ve PHP sürümü > 8 olan siteleri etkilemez. Zafiyetin istismar edilebilmesi için ayrıca 'Redirection For Contact Form 7 Extension - Create Post' uzantısının yüklü ve etkin olması gerekir. Etkilenen yazılımda bilinen bir POP zinciri bulunmamaktadır; bu da sitede POP zinciri içeren başka bir eklenti veya tema yüklü olmadığı sürece bu zafiyetin herhangi bir etkisi olmayacağı anlamına gelir. Hedef sistemde yüklü ek bir eklenti veya tema aracılığıyla bir POP zinciri mevcutsa, bu durum saldırganın mevcut POP zincirine bağlı olarak rastgele dosyaları silmek, hassas verileri elde etmek veya kod çalıştırmak gibi işlemler gerçekleştirmesine izin verebilir. Contact Form 7 eklentisinde, bu eklentiyle birlikte yüklendiğinde rastgele dosya silmeyi mümkün kılan kullanılabilir bir gadget olduğu onaylanmıştır. Contact Form 7'nin bu eklenti için bir gereksinim olduğu göz önüne alındığında, bu eklentiye ve 'Redirection For Contact Form 7 Extension - Create Post' uzantısına sahip her sitenin rastgele dosya silme işlemine karşı savunmasız olması muhtemeldir.