Podatności Ultra Addons for Contact Form 7

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji _getObjAttr we wszystkich wersjach do 3.5.54 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Wymaga to aktywnego dodatku PDF Generator i skonfigurowanego formularza Contact Form 7 do generowania PDF.

Wtyczka Ultra Addons for Contact Form 7 dla WordPress jest podatna na dowolne przesyłanie plików z powodu niewystarczającej walidacji typu pliku w funkcji 'uacf7_wpcf7_mail_components' we wszystkich wersjach do 3.5.50 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny, co może umożliwić zdalne wykonanie kodu. Uwaga: jest to możliwe do wykorzystania tylko wtedy, gdy moduł PDF Generator wtyczki jest włączony, co jest domyślnie wyłączone.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa (wersje do 3.5.54 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez przesyłanie plików z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybuty 'data-label' i 'data-separator' w suwaku zakresu we wszystkich wersjach do 3.5.43 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na stronach.