Op 16 december 2020 ontdekte het Astra Security Research-team een kwetsbaarheid voor onbeperkt uploaden van bestanden in Contact Form 7, een WordPress-plug-in die op meer dan 5 miljoen websites is geïnstalleerd. Update zo snel mogelijk de plugin om een hack te voorkomen!
Overzicht
Contactformulier 7 is een van de meest populaire WordPress-plug-ins waarmee gebruikers meerdere contactformulieren op hun site kunnen toevoegen. De plug-in heeft momenteel meer dan 5 miljoen actieve installaties. Elke kwetsbaarheid in deze plug-in brengt dus miljoenen websites in gevaar.
Kwetsbaarheid bij het uploaden van bestanden
Ons onderzoeksteam onder leiding van Jinson Varghese heeft onlangs een zeer ernstige kwetsbaarheid voor onbeperkte bestandsupload ontdekt in de WordPress-plug-in Contact Form 7 5.3.1 en oudere versies. Door misbruik te maken van dit beveiligingslek, konden aanvallers eenvoudig bestanden van elk type uploaden, waarbij alle beperkingen met betrekking tot de toegestane uploadbare bestandstypen op een website werden omzeild. Verder stelt het een aanvaller in staat om kwaadaardige inhoud, zoals webshells, te injecteren in de sites die de Contact Form 7-plugin-versie onder 5.3.1 gebruiken en het uploaden van bestanden op de formulieren hebben ingeschakeld.
Het Astra Security Research-team nam in eerste instantie contact op met Contact Form 7 plug-in-ontwikkelaars via hun ondersteuningsforum op 16 december 2020. Na ontvangst van de bevestiging van de plug-in-ontwikkelaars hebben we de volledige details over deze kwetsbaarheid op 17 december 2020 bekendgemaakt. dag werd een laatste voldoende patch vrijgegeven. We raden ten zeerste aan om de plug-in onmiddellijk bij te werken naar de nieuwste versie, 5.3.2.
Meer details over de kwetsbaarheid zullen na een periode van twee weken worden toegevoegd, zodat gebruikers voldoende tijd hebben om te updaten en de nodige maatregelen te nemen om ervoor te zorgen dat ze veilig zijn.
Opmerking: als u de firewall- en malwarescanner van Astra Security gebruikt, bent u automatisch direct beschermd. Voor een nog betere en bredere dekking raden we je aan Astra Security via deze methode op je WordPress te installeren
Gevolgen van het beveiligingslek met betrekking tot het uploaden van bestanden in contactformulier 7 (5.3.1 en oudere versies)
[Bron: https://www.getastra.com/blog/911/plugin-exploit/contact-form-7-unrestricted-file-upload-vulnerability/]