Plataforma
wordpress
Componente
ht-contactform
Corregido en
2.2.2
La vulnerabilidad CVE-2025-7341 es un fallo de Acceso Arbitrario de Archivos presente en el plugin HT Contact Form – Drag & Drop Form Builder for WordPress. Esta falla permite a atacantes no autenticados borrar archivos en el servidor, lo que podría resultar en la ejecución remota de código (RCE). Afecta a las versiones desde 0.0.0 hasta la 2.2.1, siendo solucionada en la versión 2.2.2.
El impacto de esta vulnerabilidad es crítico. Un atacante puede explotarla para borrar archivos arbitrarios en el servidor web. La consecuencia más grave es la posibilidad de ejecución remota de código, especialmente si se elimina el archivo wp-config.php, que contiene información sensible para la configuración de WordPress. La eliminación de otros archivos esenciales del sistema también puede causar denegación de servicio o comprometer la integridad del sitio web. Esta vulnerabilidad es similar en impacto a otros fallos de acceso arbitrario de archivos que han permitido la toma de control completa de servidores web.
La vulnerabilidad ha sido publicada el 15 de julio de 2025. No se ha confirmado explotación activa en campañas conocidas, pero la severidad crítica y la facilidad de explotación sugieren un riesgo significativo. Es probable que esta vulnerabilidad sea agregada al Catálogo de Vulnerabilidades Conocidas (KEV) de CISA en un futuro cercano. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar posibles ataques.
Websites using the HT Contact Form plugin, particularly those with limited security configurations or outdated WordPress installations, are at significant risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable, as an attacker could potentially exploit this vulnerability to compromise the entire hosting account.
• wordpress / plugin: Use wp-cli plugin update to check the installed version and update if necessary.
• wordpress / plugin: Search plugin files for the tempfiledelete() function and any instances of insufficient file path validation.
• generic web: Monitor web server access logs for requests targeting plugin endpoints with unusual file paths or deletion attempts. Look for patterns like /wp-content/plugins/ht-contact-form/tempfiledelete.php?file=wp-config.php.
• generic web: Use curl to test for file deletion vulnerabilities by attempting to delete files via plugin endpoints.
curl -X POST "/wp-content/plugins/ht-contact-form/temp_file_delete.php?file=/path/to/sensitive/file" -d "param1=value1"disclosure
kev
Estado del Exploit
EPSS
0.67% (71% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin HT Contact Form a la versión 2.2.2 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de proceder. Como medida temporal, se puede implementar una regla en un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten acceder o eliminar archivos fuera del directorio esperado del plugin. También se recomienda revisar los permisos de los archivos y directorios del plugin para asegurar que solo el usuario web tenga acceso de escritura a los archivos necesarios.
Actualice el plugin HT Contact Form a la versión 2.2.2 o superior para mitigar la vulnerabilidad de eliminación arbitraria de archivos. Esta actualización corrige la falta de validación adecuada de las rutas de los archivos, previniendo que atacantes no autenticados eliminen archivos sensibles en el servidor.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-7341 is a CRITICAL vulnerability in the HT Contact Form WordPress plugin allowing unauthenticated attackers to delete files, potentially leading to remote code execution.
You are affected if you are using HT Contact Form versions 0.0.0 through 2.2.1. Check your plugin version immediately.
Upgrade the HT Contact Form plugin to version 2.2.2 or later to address the vulnerability. If immediate upgrade is not possible, implement temporary file access restrictions.
While no public exploits are currently available, the vulnerability's severity and ease of exploitation suggest a high probability of active exploitation.
Refer to the official HT Contact Form website and WordPress plugin repository for updates and advisories related to CVE-2025-7341.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.