Contact Form by Bit Form: Multi Step Form, Calculation Contact Form, Payment Contact Form & Custom Contact Form builder 2.0 - 2.13.4 - Exclusão Arbitrária de Arquivos (Administrator+)

O impacto primário desta vulnerabilidade reside na capacidade de um atacante deletar arquivos no servidor. Embora a deleção de arquivos em si possa não parecer imediatamente crítica, a possibilidade de deletar arquivos de configuração essenciais, como wp-config.php, abre caminho para a execução remota de código. Ao deletar este arquivo, um atacante pode comprometer a instalação do WordPress, obtendo controle total sobre o servidor. A ausência de validação adequada do caminho do arquivo na função iconRemove é a raiz do problema, permitindo que atacantes manipulem o caminho para acessar e deletar arquivos fora do escopo pretendido. A exploração bem-sucedida pode resultar em roubo de dados, modificação de conteúdo do site e até mesmo a tomada de controle completa do servidor.

WordPress websites utilizing the Contact Form by Bit Form plugin suite, particularly those with administrator accounts that have not been secured with strong passwords and multi-factor authentication, are at risk. Shared hosting environments where WordPress installations share file system permissions are also at higher risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'iconRemove' /var/www/html/wp-content/plugins/contact-form-by-bit-form/

• wordpress / composer / npm:

wp plugin list --status=all | grep 'contact-form-by-bit-form'

• wordpress / composer / npm:

wp plugin update contact-form-by-bit-form

• generic web: Check WordPress plugin directory for updates and security advisories related to Contact Form by Bit Form.

1. 2024-08-20Disclosure

   disclosure

1. Reservado2024-08-13
2. Publicada2024-08-20
3. Modificada2024-09-03
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2024-7782 é a atualização imediata do plugin Contact Form by Bit Form para uma versão corrigida. Verifique o site do desenvolvedor ou o repositório do WordPress para a versão mais recente. Como solução alternativa temporária, se a atualização imediata não for possível, considere restringir o acesso ao diretório do plugin através das permissões do servidor. Além disso, implemente um firewall de aplicação web (WAF) com regras para bloquear solicitações suspeitas que tentem acessar ou manipular arquivos sensíveis. Monitore os logs do servidor em busca de tentativas de acesso não autorizado ou deleção de arquivos.

Avaliação do plugin