平台
wordpress
组件
ht-contactform
修复版本
2.2.2
CVE-2025-7341 描述了 WordPress 插件 HT Contact Form – Drag & Drop Form Builder for WordPress 中的一个严重漏洞，该漏洞允许未经身份验证的攻击者删除服务器上的任意文件。由于 tempfiledelete() 函数中的文件路径验证不足，攻击者可以利用此漏洞，甚至可能导致远程代码执行，例如删除 wp-config.php 文件。此漏洞影响所有版本低于或等于 2.2.1 的插件，建议立即升级至 2.2.2 版本以修复此问题。
此漏洞的影响非常严重。攻击者可以利用它删除服务器上的任何文件，这可能导致数据丢失、服务中断，甚至完全控制服务器。最危险的场景是攻击者删除 wp-config.php 文件，该文件包含数据库连接信息和其他敏感配置。删除此文件将使 WordPress 站点无法访问，并可能允许攻击者访问数据库中的数据。攻击者还可以删除其他关键文件，例如 PHP 脚本或配置文件，从而执行任意代码或进一步破坏系统。由于该漏洞无需身份验证，因此任何人都可能利用它，这使得它成为一个特别危险的威胁。
该漏洞已公开披露，并且由于其严重性和易于利用性，可能成为攻击者的目标。目前尚无已知的公开利用程序，但由于漏洞的性质，预计很快会出现。建议密切关注安全社区的最新信息，并采取必要的措施来保护您的 WordPress 站点。
Websites using the HT Contact Form plugin, particularly those with limited security configurations or outdated WordPress installations, are at significant risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable, as an attacker could potentially exploit this vulnerability to compromise the entire hosting account.
• wordpress / plugin: Use wp-cli plugin update to check the installed version and update if necessary.
• wordpress / plugin: Search plugin files for the tempfiledelete() function and any instances of insufficient file path validation.
• generic web: Monitor web server access logs for requests targeting plugin endpoints with unusual file paths or deletion attempts. Look for patterns like /wp-content/plugins/ht-contact-form/tempfiledelete.php?file=wp-config.php.
• generic web: Use curl to test for file deletion vulnerabilities by attempting to delete files via plugin endpoints.
curl -X POST "/wp-content/plugins/ht-contact-form/temp_file_delete.php?file=/path/to/sensitive/file" -d "param1=value1"disclosure
kev
漏洞利用状态
EPSS
0.67% (71% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 HT Contact Form 插件升级至 2.2.2 或更高版本。如果无法立即升级，可以考虑暂时禁用该插件，以防止攻击者利用该漏洞。此外，可以实施一些额外的安全措施来降低风险。例如，可以配置 Web 应用防火墙 (WAF) 以阻止对 tempfiledelete() 函数的恶意请求。还可以审查服务器上的文件权限，以确保只有授权用户才能访问敏感文件。最后，定期备份 WordPress 站点和数据库，以便在发生安全事件时可以快速恢复。
将 HT Contact Form 插件更新到 2.2.2 或更高版本以缓解任意文件删除漏洞。此更新修复了文件路径验证不足的问题，防止未授权的攻击者删除服务器上的敏感文件。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-7341 是 WordPress 插件 HT Contact Form 中的一个漏洞，允许攻击者删除服务器上的任意文件，可能导致远程代码执行。
如果您正在使用 HT Contact Form 插件的 0.0.0–2.2.1 版本，则您可能会受到影响。请立即升级至 2.2.2 或更高版本。
将 HT Contact Form 插件升级至 2.2.2 或更高版本。如果无法升级，请暂时禁用该插件。
虽然目前尚无已知的公开利用程序，但由于漏洞的严重性，预计很快会出现。
请访问 HT Contact Form 插件的官方网站或 WordPress 插件目录，以获取有关此漏洞的最新信息和修复程序。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。