Contact Form by Bit Form <= 2.17.4 - 认证 (管理员+) 服务器端请求伪造 (Server-Side Request Forgery)

攻击者可以利用此 SSRF 漏洞发起对内部网络的请求，绕过防火墙和安全策略。这可能导致敏感数据泄露，例如数据库凭据、API 密钥或内部服务信息。在多站点环境中，攻击者可以利用此漏洞影响所有站点。攻击者还可以利用此漏洞修改内部服务，例如更改配置或执行恶意代码。由于攻击者需要管理员权限，因此该漏洞的潜在影响相对有限，但仍然可能导致严重的安全问题。

WordPress websites utilizing the Contact Form by Bit Form plugin, particularly those with administrator accounts and internal services accessible via HTTP or HTTPS. Shared hosting environments where multiple WordPress sites share the same server infrastructure are also at increased risk, as a compromised administrator account on one site could potentially be used to exploit the vulnerability on other sites.

• wordpress / composer / npm:

grep -r 'Webhook_url' /var/www/html/wp-content/plugins/contact-form-by-bit-form/*

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/contact-form-by-bit-form/webhook.php | grep -i 'server:'

1. 2025-01-25Disclosure

   disclosure

1. 已保留2025-01-16
2. 发布日期2025-01-25
3. 修改日期2025-01-27
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级到 Contact Form by Bit Form 的最新版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下缓解措施：限制 Webhooks 功能的访问权限，只允许访问受信任的 URL；实施严格的输入验证和过滤，以防止攻击者构造恶意的 Web 请求；使用 Web 应用防火墙 (WAF) 来检测和阻止 SSRF 攻击。此外，定期审查 WordPress 插件的配置，确保其安全设置正确。

插件评分

5.0

需要WordPress版本

5.0+

兼容至

7.0

需要PHP版本

7.4+