V pluginu Extensions For CF7, který rozšiřuje možnosti formulářového systému Contact Form 7, byla identifikována kritická zranitelnost umožňující nepřihlášenému útočníkovi nahrát na server škodlivý PHP soubor a potenciálně spustit libovolný kód.
Příčinou je nedostatečné zabezpečení mechanismu pro nahrávání souborů prostřednictvím podpisového pole formuláře.
Zranitelnost se nachází ve funkci extcf7_submit() a související validační funkci validation_filter().
Plugin při zpracování podpisového pole nedostatečně kontroluje přípony souborů, jejich MIME typy a velikost.
Současně neobsahuje dostatečnou ochranu proti vykonávání PHP souborů v cílovém adresáři.
Mechanismus zneužití
Útočník může využít nedostatečné validace nahrávaného souboru a chování funkce sanitize_file_name().
Ta za určitých podmínek převede název souboru končící například na .php- na název s příponou .php.
Výsledkem může být uložení spustitelného PHP souboru do veřejně dostupného adresáře WordPressu.
Pokud server umožňuje vykonávání PHP v tomto adresáři, může útočník následně spustit vlastní škodlivý kód.
Zneužití nevyžaduje přihlášení ani interakci administrátora.
Praktická zneužitelnost souvisí s používáním postiženého mechanismu podpisového pole.
Možné následky
Úspěšné zneužití může vést k:
- Nahrání škodlivého PHP souboru nebo webshellu.
- Vzdálenému spuštění libovolného PHP kódu.
- Získání přístupu k databázovým údajům WordPressu.
- Instalaci zadních vrátek umožňujících trvalý přístup.
- Neoprávněným změnám souborů a konfigurace.
- Úplnému převzetí WordPress instalace.
Wordfence hodnotí zranitelnost CVSS 9.8/10.
Zranitelnost byla zveřejněna 9. října 2026. Aktivní zneužívání v reálných útocích zatím nebylo potvrzeno.
Doporučené kroky
- Bezodkladně aktualizovat Extensions For CF7 minimálně na verzi 3.4.6, ideálně na nejnovější dostupnou verzi.
- U webů, které provozovaly postižené verze, doporučujeme prověřit formuláře využívající podpisové pole.
- Zkontrolovat adresáře používané pluginem pro ukládání souborů a vyhledat neobvyklé PHP skripty.
- Prověřit serverové logy a podezřelé požadavky související s odesíláním formulářů prostřednictvím
extcf7_submit().
- Doporučujeme ověřit, zda server zakazuje vykonávání PHP v adresářích určených pro nahrávání uživatelských souborů.
- Pokud aktualizace není okamžitě možná, je vhodné dočasně deaktivovat postiženou funkcionalitu nebo celý plugin.
- U webů vykazujících známky kompromitace doporučujeme provést kontrolu integrity souborů, uživatelských účtů a případných zadních vrátek.
Důležité: Samotná aktualizace pluginu neodstraní případné škodlivé soubory nahrané před instalací bezpečnostní opravy.
Zdroj: https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/extensions-for-cf7/extensions-for-cf7-contact-form-7-database-conditional-fields-and-redirection-345-unauthenticated-arbitrary-file-upload-via-signature-field-file-upload
