CVE-2025-3515 - RCE via téléversement de fichiers WordPress

Utilisation

python3 exploit.py <target>

Présentation

CVE-2025-3515 est une vulnérabilité de téléversement de fichiers dans le plugin WordPress « Drag and Drop Multiple File Upload for Contact Form 7 » qui permet à des attaquants non authentifiés de téléverser des fichiers malveillants et d'obtenir une exécution de code à distance.

Plugin : drag-and-drop-multiple-file-upload-contact-form-7
Versions concernées : ≤ 1.3.8.9
Découvert par : mikemyers (Wordfence)

Détails techniques

Composant vulnérable

Fichier : /inc/dnd-upload-cf7.php
Fonction : dnd_upload_cf7_upload() (ligne 856)

Extensions manquantes dans la liste noire : .phar, .php5, .inc

Le correctif (version 1.3.9.0) semble également vulnérable

Découvertes supplémentaires

1. Opérations d'écriture de fichiers

// Line 107-108 - Potential path traversal
if ( $handle = fopen( $htaccess_file, 'w' ) ) {
    fwrite( $handle, "Options -Indexes \n <Files *.php> \n deny from all \n </Files>" );

2. Création du fichier journal

// Line 523-524 - Unvalidated log writing
$file = fopen( $uploads_dir['upload_dir']."/logs.txt", "a");
fwrite( $file, "\n". ( is_array( $message ) ? print_r( $message, true ) : $message ) );

Détection

Indicateurs sur le système de fichiers

# Search for suspicious uploads
find /wp-content/uploads/ -name "*.phar" -o -name "*.php5" -o -name "*.inc"

# Check for web shells
grep -r "system\|exec\|shell_exec" /wp-content/uploads/

Analyse des journaux

# Apache/Nginx access logs
grep "admin-ajax.php" /var/log/apache2/access.log | grep "dnd_codedropz_upload"

# WordPress debug logs
grep "dnd_upload_cf7_upload" /wp-content/debug.log

CVE-2025-3515

Populaires