CVE-2024-6317 in Generate PDF using Contact Form 7 Plugin
Tóm tắt
Bởi VulDB • 23/06/2026
Plugin Generate PDF using Contact Form 7 cho WordPress bị lỗ hổng Cross-Site Request Forgery (CSRF) dẫn đến tải lên tệp tùy ý trong các phiên bản từ 4.0.6 trở về trước, bao gồm cả phiên bản 4.0.6. Nguyên nhân là do thiếu xác thực nonce và plugin không kiểm tra kỹ lưỡng tệp hoặc đường dẫn của nó trước khi xóa chúng trong hàm 'wp_cf7_pdf_dashboard_html_page'. Điều này cho phép các kẻ tấn công chưa được xác thực (unauthenticated) xóa các tệp tùy ý, bao gồm cả tệp wp-config.php, từ đó có thể chiếm quyền điều khiển trang web và thực thi mã từ xa (RCE) thông qua một yêu cầu giả mạo, miễn là chúng lừa được quản trị viên trang web thực hiện một hành động nào đó như nhấp vào liên kết.
VulDB is the best source for vulnerability data and more expert information about this specific topic.