Udnyttet sårbarhed

CVE-2025-14842

TLP:CLEAR

CodeDropz drag_and_drop_multiple_file_upload_-_contact_form_7 Ubegrænset upload af fil med farlig type

Drag and Drop Multiple File Upload – Contact Form 7-pluginet til WordPress er sårbar over for begrænset upload af filer med en farlig type i alle versioner op til og inklusiv 1.3.9.2. Dette skyldes, at pluginet ikke blokerer .phar og .svg-filer. Dette gør det muligt for uautoriserede angribere at uploade vilkårlige .phar eller .svg-filer indeholdende ondsindet PHP eller JavaScript-kode. Ondsindet PHP-kode kan bruges til at opnå remote code execution på serveren via direkte filacces, hvis serveren er konfigureret til at udføre .phar-filer som PHP. Upload af .svg-filer tillader gemt cross-site scripting under visse omstændigheder.

Fakta

Leverandør: CodeDropz
Produkt: drag_and_drop_multiple_file_upload_-_contact_form_7
EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,4 %
Første kendte udnyttelse: 13. oktober 2026
Første gang set af Risk Letters: 13. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD