Специалисты по безопасности из Astra Security Research обнаружили в Contact Form 7 уязвимость, с помощью которой злоумышленники могли загружать на сайты файлы без аутентификации и ведома администраторов.
Используя обнаруженную брешь в данном плагине, злоумышленники могли загрузить на ресурс любой вредоносный файл, обойдя все системы безопасности, используемые администраторами блога. Это могли быть как автоматические скрипты, удаляющие важные данные или искажающие информацию на ресурсе, так и файлы, позволяющие взять полный контроль над ресурсом (или даже несколькими, если они находятся на одном сервере и недостаточно обособлены друг от друга).
Ошибка содержится в Contact Form 5.3.1 и более ранних версиях. Угрозу обнаружили 16 декабря 2020 года. На следующий день разработчики плагина выпустили патч, устраняющий найденную проблему. Специалисты по безопасности рекомендуют вебмастерам как можно скорее обновить Contact Form до версии 5.3.2.
Комментарии