| 发布日期：2025-01-09 05:26 点击次数：114 |
IT之家3月2日音书，据外媒Wordfence报谈，安全东谈主员ArkadiuszHydzik向其申诉一款名为EverestForms的WordPress插件存在严重症结CVE-2025-1128ag百家乐交流平台，黑客可讹诈症结将淘气文献上传至WordPress网站，从而结束汉典现实淘气代码。
▲ Everest Forms 插件
据悉，这款EverestForms插件主要为网站惩处员提供创建表单、问卷、投票等功能。现在Wordfence已将整个信息提交给EverestForms开辟者，现在相应插件已发布3.0.9.5版块补丁建造相应Bug，而安全东谈主员ArkadiuszHydzik也赢得了4290好意思元（IT之家备注：刻下约31274元东谈主民币）的症结奖励。
IT之家参考申诉获悉，这一CVE-2025-1128症结的CVSS风险评分高达9.8分（满分10分），3.0.9.5前整个版块的EverestForms均存在这一症结，ag百家乐真的假的现在部署该插件的网站“多达10万家”。
针对该症结产生的原因，Wordfence症结商榷员IstvánMárton指出，问题在于EVF_Form_Fields_Upload这个类穷乏对文献类型和旅途的考据，导致WordPress网站不仅能上传淘气文献，还可能被黑客应酬读取或删除任何数据；若黑客针对wp-config.php下手，就有可能戒指整个这个词网站。
由于EVF_Form_Fields_Upload中的智力format对文献类型或后缀名莫得进行查验，黑客可径直将包含坏心PHP代码的CSV或TXT文本文献重定名为PHP文献并上传ag百家乐交流平台，而WordPress网站会自动将这些文献挪动到任何东谈主均可公开造访的上传目次，这么黑客便可在未进程身份考据的情况下上传坏心PHP代码，进而触发症结在劳动器上汉典现实淘气代码。
