CVE-2026-94589
Açıklama
WordPress için geliştirilen Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) eklentisinin 3.4.5 dahil tüm önceki sürümleri, extcf7_submit fonksiyonu üzerinden Keyfi Dosya Yükleme (Arbitrary File Upload) zafiyetine sahiptir. Bu durum, imza alanındaki validation_filter() fonksiyonunda dosya uzantısı, MIME türü ve boyut doğrulamalarının eksik olmasıyla birlikte, yükleme dizininde PHP yürütme korumalarının bulunmaması ve shell.php- ifadesini shell.php olarak dönüştüren bir sanitize_file_name() atlatması nedeniyle oluşmaktadır. Bu durum, kimliği doğrulanmamış saldırganların çalıştırılabilir dosyalar yüklemesine olanak tanıyarak uzaktan kod çalıştırmayı mümkün kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| htplugins Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) | v ≤ 3.4.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.