CVE-2025-7341
KrytyczneStreszczenie
Wtyczka HT Contact Form Widget dla Elementor Page Builder i Gutenberg Blocks oraz Form Builder w WordPressie jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji temp_file_delete(). Dotyczy to wszystkich wersji do 2.2.1 włącznie.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli zostanie usunięty odpowiedni plik, na przykład wp-config.php.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie serwera pod kątem nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
The HT Contact Form Widget For Elementor Page Builder & Gutenberg Blocks & Form Builder plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the temp_file_delete() function in all versions up to, and including, 2.2.1. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php).