Check-WP-CVE-2020-35489

CVE-2020-35489

CVE-2020-35489 存在于 WordPress 插件 Contact Form 7 5.3.1 及更早版本中。通过利用此漏洞，攻击者可以绕过网站上关于允许上传文件类型的所有限制，直接上传任意类型的文件。

估计有 500万 个网站受到影响。

PoC 将于 2020 年 12 月 31 日公开，以便用户有时间进行更新。

参考

https://wpscan.com/vulnerability/10508

https://contactform7.com/2020/12/17/contact-form-7-532/#more-38314

https://cwe.mitre.org/data/definitions/434.html

运行脚本

$ python3 check_CVE-2020-35489.py -d domaintest.com

Contact Form 7 version: 5.1.3
domaintest.com is vulnerable!

$ python3 check_CVE-2020-35489.py -i in.txt -o out.txt