CVE-2025-3515 - RCE tramite caricamento file WordPress

Utilizzo

python3 exploit.py <target>

Panoramica

CVE-2025-3515 è una vulnerabilità di caricamento file nel plugin WordPress "Drag and Drop Multiple File Upload for Contact Form 7" che consente a utenti non autenticati di caricare file dannosi e ottenere l'esecuzione remota di codice.

Plugin: drag-and-drop-multiple-file-upload-contact-form-7
Versioni interessate: ≤ 1.3.8.9
Scoperta da: mikemyers (Wordfence)

Dettagli tecnici

Componente vulnerabile

File: /inc/dnd-upload-cf7.php
Funzione: dnd_upload_cf7_upload() (riga 856)

Estensioni mancanti nella blacklist: .phar, .php5, .inc

Anche la patch (versione 1.3.9.0) sembra essere vulnerabile

Riscontri aggiuntivi

1. Operazioni di scrittura file

// Line 107-108 - Potential path traversal
if ( $handle = fopen( $htaccess_file, 'w' ) ) {
    fwrite( $handle, "Options -Indexes \n <Files *.php> \n deny from all \n </Files>" );

2. Creazione dei file di log

// Line 523-524 - Unvalidated log writing
$file = fopen( $uploads_dir['upload_dir']."/logs.txt", "a");
fwrite( $file, "\n". ( is_array( $message ) ? print_r( $message, true ) : $message ) );

Rilevamento

Indicatori del file system

# Search for suspicious uploads
find /wp-content/uploads/ -name "*.phar" -o -name "*.php5" -o -name "*.inc"

# Check for web shells
grep -r "system\|exec\|shell_exec" /wp-content/uploads/

Analisi dei log

# Apache/Nginx access logs
grep "admin-ajax.php" /var/log/apache2/access.log | grep "dnd_codedropz_upload"

# WordPress debug logs
grep "dnd_upload_cf7_upload" /wp-content/debug.log

CVE-2025-3515

Più Popolari