CVE-2026-84750
Açıklama
3.5.51 sürümünden önceki Ultra Addons for Contact Form 7 WordPress eklentisi, form alanlarından birinden yüklenen dosyaların türünü veya uzantısını doğrulamamakta ve bu dosyaları saldırgan tarafından seçilen uzantı korunmuş şekilde tahmin edilebilir genel bir yolda saklamaktadır; bu durum kimliği doğrulanmamış kullanıcıların rastgele dosyalar yüklemesine olanak tanır. Debian ve Ubuntu Apache paketleriyle varsayılan olarak gelen PHP işleyicisi, .phar uzantısını .php ve .phtml ile birlikte PHP'ye eşlediğinden, bu yapıda yüklenen dosya çalıştırılır ve sorun Uzaktan Kod Çalıştırma ile sitenin tamamen ele geçirilmesine yol açar. Ana makinenin yalnızca .php uzantısını PHP işleyicisine yönlendirdiği durumlarda ise aynı dosya, betiği bozulmadan sitenin kendi kaynağı üzerinden sunulur ve bu da Depolanmış Siteler Arası Betik Çalıştırma (XSS) ile sonuçlanır.
Nasıl düzeltilir
- Ultra Addons for Contact Form 73.5.51 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Ultra Addons for Contact Form 7 | 3.2.4 ≤ v < 3.5.51 | 3.5.51 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.