Contact Form 7 - Luka w zabezpieczeniach!

Popularna wtyczka na WordPress  Contact Form 7 w wersji 5.3.1 wykazuje się poważną podatnością i zalecana jest natychmiastowa aktualizacja do 5.3.2 

Taką w skrócie dostałem informację, więc podaję dalej. 

Więcej:  https://cyberfolks.pl/blog/wazna-luka-w-contact-form-7/?utm_source=make-cash-pl

Cytat

Sytuacja dotyczy ponad 5 milionów stron na całym świecie.
Wysyłamy wiadomosć do wszystkich użytkowników usług oraz osób osób zapisanych na newslettery. To poważne i masowe zagrożenie, a znaczna część z Was posiada strony na WordPress z tą wtyczką.
Contact Form 7 pozwala na łatwe osadzenie funkcjonalnego formularza na Twojej stronie, opartej o WordPress i jest często wybierana przez osoby tworzące strony w oparciu o ten CMS. Ujawniono w niej lukę umożliwiającą wykonanie złośliwego kodu na Twoim serwerze.

Z samego rana właśnie zasypała mnie lawina maili z firm hostingowych. 

Dość ciekawa sytuacja tym bardziej, że grudniowa aktualizacja WP miała mieć znaczenie w takich sytuacjach(mimo, że dotyczy to danej wtyczki).

Szczerze powiedziawszy, to liczyłem na jakąś większą rozpiskę. Zacząć trzeba od tego, że nie jest to "ważna luka" jak napisał autor artykułu, a wręcz KRYTYCZNA!

Dlaczego?

1. Ponad 5 milionów instalacji!
   i
2. Nieograniczone przesyłanie plików
   oraz
3. Możliwe ataki z podwójnym rozszerzeniem

Czyli przy pomocy pliku mającym podwójne rozszerzenie, np. PLIK.PHP    .JPG (przerwa jest zrobiona 'tabulatorem'. Taki przycisk TAB na klawiaturze)

• Formularz usuwa rozszerzenie .JPG po czym na serwerze znajduje się PLIK.PHP ze złośliwym kodem. Wgrywający może nawet uzyskać dostęp do serwera.

Problem dotyczy wersji 5.3.1 więc wystarczy zaktualizować do najnowszej 5.3.2.

2 minuty temu, Czaq napisał:

grudniowa aktualizacja WP miała mieć znaczenie w takich sytuacjach(mimo, że dotyczy to danej wtyczki).

Zgadza się lecz weź pod uwagę, że to wina wtyczki, a nie wordpressa. Wordpress nie zabezpiecza pluginów. Niestety ale wtyczka = wytrych.

Jakby ktoś chce zabezpieczyć wordpressa, forum, stronę prewencyjnie, to może się ze mną skontaktować na prywatnej wiadomości.

Jeżeli ktoś z was szuka bardzo dobrego hostingu, który dba o bezpieczeństwo stron swoich klientów to zapraszam do mojego tematu o ATTHOST

Pozdrawiam