1755025261
2025-08-12 18:47:00
連絡先フォームの提出を保存するWordPressプラグインに対して、脆弱性アドバイザリーが発行されました。この欠陥により、未認識の攻撃者はファイルを削除したり、サービス攻撃の拒否を起動したり、リモートコードの実行を実行したりできます。脆弱性には、1〜10のスケールで9.8の重大度評価が与えられ、問題の深刻さを示しています。
連絡先フォーム7、wpforms、elementorフォームプラグインのデータベース
連絡先フォーム7、WPForms、Elementorフォームのデータベースは、Contact Form Entriesプラグインとしても知られているようです。ユーザーは、連絡先フォームの提出物を表示したり、検索したり、読み取りまたは未読としてマークしたり、エクスポートしたり、他の機能を実行したりできます。プラグインには70,000を超えるインストールがあります。
プラグインは、無許可の攻撃者によるPHPオブジェクトインジェクションに対して脆弱です。つまり、攻撃者は攻撃を開始するためにWebサイトにログインする必要はありません。
PHPオブジェクトは、PHPのデータ構造です。 PHPオブジェクトは、それらを保存してから脱色（オブジェクトに戻す）のシーケンス（シリアル化）に変えることができます。この脆弱性を引き起こす欠陥は、プラグインが認証されていない攻撃者が信頼されていないPHPオブジェクトを注入できるようにすることです。
WordPressサイトに連絡先フォーム7プラグインもインストールされている場合、降下中にポップチェーンをトリガーできます。
によると Wordfenceアドバイザリー：
「これにより、認知度の低い攻撃者がPHPオブジェクトを注入することが可能になります。連絡先フォーム7プラグインにポップチェーンが追加される可能性が高いため、攻撃者は任意のファイルを削除し、WP-Config.phpファイルが削除されたときにサービスの拒否またはリモートコード実行につながります。」
1.4.3までのプラグインのすべてのバージョンは脆弱です。ユーザーは、プラグインを最新バージョンに更新することをお勧めします。このバージョンの時点では、バージョン1.4.5です。
Shutterstock/Taviztaによる特集画像
#WordPress連絡フォームエントリプラグインの脆弱性は70kのWebサイトに影響します