CVE-2026-5718
Açıklama
WordPress için Drag and Drop Multiple File Upload for Contact Form 7 eklentisi, 1.3.9.7 sürümü dahil olmak üzere önceki sürümlerde keyfi dosya yükleme zafiyetine sahiptir. Bu durum, özel kara liste türleri yapılandırıldığında varsayılan tehlikeli uzantı engelleme listesiyle birleştirilmek yerine onunla değiştirilmesi nedeniyle oluşan yetersiz dosya türü doğrulaması ve ASCII dışı karakterler içeren dosya adları için wpcf7_antiscript_file_name() temizleme fonksiyonunun atlatılabilmesinden kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların sunucuya PHP dosyaları gibi keyfi dosyalar yüklemesine olanak tanır ve bu durum uzaktan kod çalıştırma sağlamak için kullanılabilir. Zafiyet başlangıçta Leonid Semenenko (lsemenenko) tarafından raporlanmış ve 1.3.9.7 sürümünde kısmen yamanmıştır. Yamanın atlatılmasına yönelik yöntem ise ayrı olarak Nguyen Hung (Mitchell) tarafından keşfedilmiş ve raporlanmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| glenwpcoder Drag and Drop Multiple File Upload for Contact Form 7 | v ≤ 1.3.9.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.