CVE-2025-3515 - WordPress Datei-Upload RCE

Verwendung

python3 exploit.py <target>

Übersicht

CVE-2025-3515 ist eine Datei-Upload-Sicherheitslücke im WordPress-Plugin "Drag and Drop Multiple File Upload for Contact Form 7", die es nicht authentifizierten Angreifern ermöglicht, schädliche Dateien hochzuladen und eine Remotebefehlsausführung zu erreichen.

Plugin: drag-and-drop-multiple-file-upload-contact-form-7
Betroffene Versionen: ≤ 1.3.8.9
Entdeckt von: mikemyers (Wordfence)

Technische Details

Verwundbare Komponente

Datei: /inc/dnd-upload-cf7.php
Funktion: dnd_upload_cf7_upload() (Zeile 856)

Fehlende Erweiterungen in der Blacklist: .phar, .php5, .inc

Patch (Version 1.3.9.0) scheint ebenfalls verwundbar zu sein

Zusätzliche Erkenntnisse

1. Datei-Schreibvorgänge

// Zeile 107-108 - Möglicher Path Traversal
if ( $handle = fopen( $htaccess_file, 'w' ) ) {
    fwrite( $handle, "Options -Indexes \n <Files *.php> \n deny from all \n </Files>" );

2. Logdatei-Erstellung

// Zeile 523-524 - Unvalidiertes Log-Schreiben
$file = fopen( $uploads_dir['upload_dir']."/logs.txt", "a");
fwrite( $file, "\n". ( is_array( $message ) ? print_r( $message, true ) : $message ) );

Erkennung

Dateisystem-Indikatoren

# Suche nach verdächtigen Uploads
find /wp-content/uploads/ -name "*.phar" -o -name "*.php5" -o -name "*.inc"

# Prüfe auf Webshells
grep -r "system\|exec\|shell_exec" /wp-content/uploads/

Log-Analyse

# Apache/Nginx Zugriffslogs
grep "admin-ajax.php" /var/log/apache2/access.log | grep "dnd_codedropz_upload"

# WordPress Debug-Logs
grep "dnd_upload_cf7_upload" /wp-content/debug.log

CVE-2025-3515

Beliebteste