CVE-2025-7384

总结

# WordPress 的 Contact Form 7、WPforms、Elementor forms 插件数据库插件漏洞 适用于 WordPress 的 Contact Form 7、WPforms、Elementor forms 插件数据库插件在所有版本（包括 1.4.3）中，由于 `get_lead_detail` 函数对不可信输入进行反序列化，存在 PHP 对象注入漏洞。这使得未认证的攻击者能够注入 PHP 对象。此外，由于 Contact Form 7 插件（很可能与该插件同时使用）中存在 POP 链，攻击者可以删除任意文件，当 `wp-config.php` 文件被删除时，会导致拒绝服务或远程代码执行。

• CVE-2025-7384PoC

  针对 WordPress Database for Contact Form 7 中一个严重的未经认证的 PHP 对象注入漏洞的漏洞利用 PoC 与根因分析，该漏洞可通过任意文件删除实现 RCE。