Plataforma
wordpress
Componente
extensions-for-cf7
Corrigido em
3.2.9
O plugin Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) para WordPress apresenta uma vulnerabilidade de acesso arbitrário de arquivos. Essa falha permite que atacantes não autenticados deletem arquivos no servidor, comprometendo a integridade do sistema. As versões afetadas são da 0.0.0 até a 3.2.8. A correção foi disponibilizada na versão 3.2.9.
A vulnerabilidade de acesso arbitrário de arquivos no Extensions For CF7 permite que um atacante não autenticado delete arquivos no servidor. A exploração bem-sucedida pode levar à execução remota de código (RCE) se arquivos críticos, como o wp-config.php, forem deletados. A deleção do wp-config.php compromete a configuração do WordPress, permitindo que o atacante assuma o controle total do site. Essa vulnerabilidade é particularmente perigosa porque não requer autenticação, tornando-a acessível a qualquer pessoa que possa interagir com o formulário de contato.
A vulnerabilidade foi divulgada em 22 de julho de 2025. Não há evidências de exploração ativa em campanhas em larga escala no momento da publicação. A ausência de um Proof of Concept (PoC) público dificulta a avaliação precisa do risco, mas a gravidade da vulnerabilidade (CVSS 8.1) indica um potencial significativo para exploração.
WordPress websites utilizing the Extensions For CF7 plugin, particularly those running older versions (0.0.0–3.2.8), are at significant risk. Shared hosting environments where users have limited control over plugin updates are especially vulnerable. Websites with weak server configurations or inadequate access controls are also at increased risk.
• wordpress / composer / npm:
grep -r 'delete-file' /var/www/html/wp-content/plugins/extensions-for-cf7/• wordpress / composer / npm:
wp plugin list | grep 'Extensions For CF7'• wordpress / composer / npm:
wp plugin update extensions-for-cf7 --version=3.2.9• generic web: Check WordPress plugin directory for outdated versions of Extensions For CF7.
disclosure
Status do Exploit
EPSS
0.55% (percentil 68%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o plugin Extensions For CF7 para a versão 3.2.9 ou superior. Se a atualização imediata não for possível, considere desativar temporariamente o plugin para evitar a exploração. Como medida adicional, implemente regras de firewall de aplicação web (WAF) para bloquear solicitações suspeitas que tentem acessar ou manipular arquivos sensíveis. Monitore os logs do servidor em busca de tentativas de acesso ou deleção de arquivos não autorizados.
Actualice el plugin Extensions For CF7 a la versión 3.2.9 o superior para solucionar la vulnerabilidad de eliminación arbitraria de archivos. Esta actualización corrige la falta de validación adecuada de la ruta del archivo, previniendo que atacantes no autenticados eliminen archivos sensibles en el servidor.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-7645 is a vulnerability in the Extensions For CF7 WordPress plugin allowing unauthenticated attackers to delete files, potentially leading to remote code execution.
You are affected if you are using Extensions For CF7 versions 0.0.0 through 3.2.8 on your WordPress website.
Upgrade the Extensions For CF7 plugin to version 3.2.9 or later to resolve the vulnerability.
There is currently no indication of active exploitation campaigns, but public PoCs are likely to emerge.
Refer to the plugin developer's website or WordPress plugin repository for the official advisory.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.