PT-2025-33894 · Unknown+1 · Contact Form 7+1

Phat Rio · CVE-2025-8145 · Publicado 2025-08-20 · Atualizado 2025-09-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Plugin Redirection for Contact Form 7 para WordPress, versões até e incluindo a 3.2.4

Descrição: O plugin Redirection for Contact Form 7 para WordPress está vulnerável a Injeção de Objeto PHP via desserialização de entrada não confiável na função get lead fields. Isso permite que atacantes não autenticados injetem um Objeto PHP. A presença de uma cadeia POP no plugin permite que atacantes excluam arquivos arbitrários. Em determinadas configurações de servidor, a Execução Remota de Código é possível.

Recomendações: Atualize o plugin Redirection for Contact Form 7 para uma versão superior à 3.2.4.

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-8145

Produtos afetados

Contact Form 7

Redirection For Contact Form 7

Referências · 7

• https://twitter.com/MNovofastovsky/status/1967512495276634293 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1958011001577623767 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1957996077157581013 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wpcf7-redirect/tags/3.2.3/classes/class-wpcf7r-lead.php#L144 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/2cb275d5-ec4b-419f-84e1-84172d381411?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-8145 · Nota de Segurança
• https://t.me/CVEtracker/30426 · Publicação no Telegram