使用技巧

联系表7版本5.3.2修补程序严重漏洞,建议立即更新

联络表格7 具有 修补 插件作者三好隆今日发布的5.3.2版中的一个严重文件上传漏洞。 该插件已安装在超过500万个WordPress网站上。

Miyoshi说:“在Contact Form 7 5.3.1和更早的版本中发现了一个不受限制的文件上传漏洞。” “利用此漏洞,表单提交者可以绕过Contact Form 7的文件名清理,并上传一个可以在主机服务器上作为脚本文件执行的文件。”

该漏洞是由发现的 詹森·瓦格斯(Jinson Varghese)Behanan阿斯特拉安全 于2020年12月16日发布,而Miyoshi在不到24小时后发布了修复程序。 Behanan重点介绍了利用此漏洞的几种方法:

  1. 可以上传Web Shell并注入恶意脚本
  2. 如果同一服务器上的网站之间没有容器化,则完全接管网站和服务器
  3. 破坏网站

在插件的用户群有更多时间更新到补丁版本后的两周内,Astra Security计划在该漏洞上发布更多详细信息。

版本5.3.2删除文件名中的控件,分隔符和其他类型的特殊字符,以修复不受限制的文件上传漏洞。 在发布时,今天已经下载了超过一百万个Contact Form 7更新。 该插件的用户群中约有20%受此漏洞的保护。 既然已对其进行了修补和发布,则不更新的Contact Form 7用户将更容易受到利用该漏洞的威胁。

像这样:

喜欢加载中……