WordPress · Drag/Drop Multiple File Upload – Contact Form 7 · CVE-2025-8464
Nome do Software Vulnerável e Versões Afetadas:
Plugin Drag and Drop Multiple File Upload for Contact Form 7 para WordPress, versões até a 1.3.9.0
Descrição:
O plugin Drag and Drop Multiple File Upload for Contact Form 7 para WordPress está vulnerável a Travessia de Diretório via o cookie `wpcf7 guest user id`. Isso permite que atacantes não autenticados enviem e excluam arquivos fora do diretório originalmente pretendido. A validação de tipo de arquivo limita os envios a tipos de arquivos seguros, e a exclusão é restrita à pasta de uploads do plugin.
Recomendações:
Atualize o plugin Drag and Drop Multiple File Upload for Contact Form 7 para WordPress para uma versão posterior à 1.3.9.0.