​​WordPress 插件曝 9.8 分高危漏洞，超 1 万网站面临风险​

HackerNews 编译，转载请注明出处：

超过10000个使用WordPress的网站因“HT Contact Form”插件（适用于Elementor页面生成器、Gutenberg区块及表单构建）的三个关键安全漏洞面临完全控制风险。

这些漏洞包括任意文件上传、任意文件删除和任意文件移动，允许未经验证的攻击者执行恶意代码、删除关键文件或转移文件位置。Wordfence最新报告指出，三大漏洞均可导致远程代码执行和网站完全沦陷。

1. 最严重的漏洞（CVE-2025-7340，CVSS严重性评分9.8）因插件的temp_file_upload()函数缺乏验证机制，使攻击者能够上传任意类型文件（包括可执行的PHP脚本）。这些文件被存储在公开目录，可直接访问执行。
2. 第二项漏洞（CVE-2025-7341）通过temp_file_delete()函数实现任意文件删除。攻击者通过删除wp-config.php文件可使网站进入设置模式，若指向新数据库则获取完全控制权。
3. 第三项漏洞（CVE-2025-7360）涉及handle_files_upload()函数的任意文件移动功能。该函数未能正确过滤文件名，使攻击者能移动关键文件，达到与文件删除相同的破坏效果。

研究人员vgo0和Phat RiO通过漏洞奖励计划向Wordfence披露漏洞。Wordfence于7月8日联系插件开发商HasTech IT后，修复补丁已于五天后（7月13日）发布。

Wordfence声明：“鉴于漏洞的严重性，我们强烈建议WordPress用户立即检查并更新至HT Contact Form插件的最新修复版本。”同时建议用户：

1. 保持插件与主题更新
2. 及时安装供应商补丁
3. 采用具备文件上传和目录遍历防护的安全方案

消息来源：infosecurity-magazine；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文