CVE-2026-5710
Açıklama
WordPress için Drag and Drop Multiple File Upload for Contact Form 7 eklentisi, 1.3.9.6 dahil önceki sürümlerde Keyfi Dosya Okumaya yol açan Path Traversal zafiyetine sahiptir. Bu durum, eklentinin sunucu tarafında herhangi bir yükleme kaynağı kontrolü, yol kanonizasyonu veya dizin sınırlama zorunluluğu uygulamadan, e-posta eki seçimi için istemci tarafından sağlanan mfile[] POST değerlerini temel almasından kaynaklanmaktadır. dnd_wpcf7_posted_data() fonksiyonunda, kullanıcı tarafından gönderilen her dosya adı, herhangi bir temizleme işlemi yapılmadan doğrudan eklentinin yükleme URL'sine eklenmektedir. dnd_cf7_mail_components() fonksiyonunda ise URL, str_replace() kullanılarak tekrar bir dosya sistemi yoluna dönüştürülmekte ve dosya giden CF7 e-postasına eklenmeden önce kabul kontrolü olarak yalnızca file_exists() kullanılmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, mfile[] parametresindeki path traversal dizileri aracılığıyla web sunucusu işlemi tarafından okunabilen keyfi dosyaları okumasını ve bu dosyaların e-posta ekleri olarak ifşa edilerek sızdırılmasını mümkün kılmaktadır. Not: Bu zafiyet, Contact Form 7 eklentisindeki wpcf7_is_file_path_in_content_dir() fonksiyonu nedeniyle 'wp-content' klasörü ile sınırlandırılmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| glenwpcoder Drag and Drop Multiple File Upload for Contact Form 7 | v ≤ 1.3.9.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.