Extensions For CF7 WordPress-Plugin: Unauthentifizierter beliebiger Datei-Upload

Zusammenfassung

Das WordPress-Plugin Extensions For CF7 bis und mit Version 3.4.5 erlaubt unauthentifizierten Angreifern, über das Signaturfeld Dateien hochzuladen. Fehlende Validierung von Dateiendung, MIME-Typ und Grösse, das Fehlen von PHP-Ausführungsschutz im Upload-Verzeichnis sowie eine Umgehung der Dateinamen-Bereinigung ermöglichen das Hochladen ausführbarer Dateien wie PHP-Skripte. Ein erfolgreicher Upload kann zu Remote Code Execution und zur vollständigen Kompromittierung der Website, möglicherweise auch des Hosting-Kontos, führen. Der NVD-Basiswert beträgt 9.8 (kritisch).

Betroffen

• WordPress-Plugin Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection), alle Versionen bis und mit 3.4.5
• Ausnutzung erfordert ein Formular mit Signaturfeld (Ableitung aus der Beschreibung)

Behoben in

• Version 3.4.6 laut WPScan und dem SVN-Changeset des Herstellers; noch nicht im WordPress.org-Changelog bestätigt. Die behobene Version vor dem Einsatz überprüfen.

Umgehung

• Plugin deaktivieren oder entfernen, oder das Signaturfeld aus Formularen entfernen
• Webserver so konfigurieren, dass PHP-Ausführung in den Upload-Verzeichnissen des Plugins verweigert wird
• WAF einsetzen, um ausführbare Dateitypen an Formular-Endpunkten zu blockieren

Ausnutzung

• CISA KEV: nicht gelistet. EPSS: unbekannt.
• CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Plugin auf Version 3.4.6 oder neuer aktualisieren, nachdem die behobene Version auf WordPress.org überprüft wurde.
• Falls das Update verzögert wird, zuerst PHP-Ausführung in den Upload-Verzeichnissen verweigern und das Signaturfeld aus Formularen entfernen.
• Upload-Verzeichnisse des Plugins auf unerwartete oder ausführbare Dateien prüfen und Webserver-Logs auf verdächtige Anfragen kontrollieren.
• Für jede öffentliche WordPress-Website mit diesem Plugin hohe Priorität setzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NVD / CVE record via Wordfence www.wordfence.com
• Vendor SVN changeset 3.4.6 vs 3.4.5 plugins.trac.wordpress.org
• WordPress.org plugin page wordpress.org
• WPScan plugin page wpscan.com
• Freshysites security bulletin freshysites.com
• ionix.io threat center www.ionix.io
• VulDB entry for extcf7_submit vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:02.