→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107652 · contact-form-cfdb7
حذف غیرمجاز فایل‌ها (Arbitrary File Deletion) در افزونه Database Addon for Contact Form 7 – CFDB7
افزونه CFDB7 در نسخه‌های ۱.۴.۱ و قبل از آن دچار آسیب‌پذیری حذف غیرمجاز فایل است؛ زیرا هنگام حذف ارسال‌های فرم، مقدارهای ذخیره‌شده را بدون اطمینان از تعلق فایل به همان ارسال و بدون محدودسازی نام فایل پردازش می‌کند. مهاجم احرازهویت‌نشده می‌تواند با دادهٔ دستکاری‌شده باعث حذف فایل‌های دلخواه روی سرور شود و در نتیجه وب‌سایت را مختل کند یا فایل‌های حیاتی را از بین ببرد. وصلهٔ رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا از فایروال وب (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 1.4.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته contact-form-cfdb7 را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/contact-form-cfdb7/tags/1.4.0/contact-form-cfdb-7.php#L170 ↗
- https://plugins.trac.wordpress.org/browser/contact-form-cfdb7/tags/1.4.0/inc/admin-subpage.php#L325 ↗
- https://plugins.trac.wordpress.org/browser/contact-form-cfdb7/tags/1.4.0/inc/admin-subpage.php#L329 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3737068%40contact-form-cfdb7&new=3737068%40contact-form-cfdb7 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/7de3606a-254c-4e5f-9499-b1cc79dce7c8?source=cve ↗