CVE-2019-25734

Nome do Software Vulnerável e Versões Afetadas Contact Form by WD versão 1.13.1

Description Existe um problema onde atacantes não autenticados podem incluir arquivos arbitrários explorando parâmetros de ação não saneados. Isso é alcançado através de uma combinação de falsificação de requisição entre sites (CSRF)—uma técnica que força um usuário a executar ações indesejadas em uma aplicação web—e inclusão de arquivo local (LFI), que permite o carregamento de arquivos do servidor local. Atacantes podem criar formulários maliciosos direcionados ao endpoint 'admin-ajax.php' usando sequências de traversal de diretório no parâmetro GET action para carregar arquivos e ignorar a autenticação em ações AJAX vulneráveis.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.