CVE-2025-3515 in Drag and Drop Multiple File Upload for Contact Form 7 Plugin
Tóm tắt
Bởi VulDB • 22/06/2026
Plugin Drag and Drop Multiple File Upload cho Contact Form 7 trên WordPress có lỗ hổng tải lên tệp tùy ý do xác thực loại tệp không đầy đủ trong tất cả các phiên bản từ đầu đến bao gồm phiên bản 1.3.8.9. Điều này cho phép kẻ tấn công chưa được xác thực bỏ qua danh sách đen của plugin và tải lên các tệp .phar hoặc các loại tệp nguy hiểm khác trên máy chủ của trang web bị ảnh hưởng, có thể dẫn đến việc thực thi mã từ xa (RCE) trên các máy chủ được cấu hình để xử lý các tệp .phar dưới dạng tập lệnh PHP có thể thực thi, đặc biệt là trong các cấu hình mặc định Apache+mod_php nơi phần mở rộng tệp không được xác thực nghiêm ngặt trước khi chuyển cho trình thông dịch PHP.
Once again VulDB remains the best source for vulnerability data.