dn9uy3n/check-wp-cve-2020-35489Das (WordPress)-Website-Testskript kann für unbegrenzten Dateiupload über CVE-2020-35489 ausgenutzt werden.
Die CVE-2020-35489 wurde im WordPress-Plugin Contact Form 7 5.3.1 und älteren Versionen entdeckt. Durch Ausnutzung dieser Sicherheitslücke könnten Angreifer einfach Dateien beliebigen Typs hochladen und dabei alle Beschränkungen umgehen, die bezüglich der erlaubten hochladbaren Dateitypen auf einer Website festgelegt wurden.
Schätzungsweise 5 Millionen Websites waren betroffen.
Der PoC wird am 31. Dezember 2020 veröffentlicht, um den Benutzern Zeit für ein Update zu geben.
https://wpscan.com/vulnerability/10508
https://contactform7.com/2020/12/17/contact-form-7-532/#more-38314
https://cwe.mitre.org/data/definitions/434.html
$ python3 check_CVE-2020-35489.py -d domaintest.com
Contact Form 7 version: 5.1.3
domaintest.com is vulnerable!
$ python3 check_CVE-2020-35489.py -i in.txt -o out.txt