Contact Form 7'de giriş gerektirmeyen 9.8 puanlı dosya yükleme açığı kapatıldı

WordPress form eklentisi Contact Form 7’nin geliştiricisi Takayuki Miyoshi, 29 Ekim’de yayımladığı 6.2.4 sürümüyle eklentinin 6.2 ile 6.2.3 arasındaki sürümlerinde bulunan ve giriş yapmamış bir saldırganın siteye dosya yüklemesine izin veren açığı kapattı. Açık 8 Kasım’da CVE-2026-114432 numarasını aldı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da aynı gün kayda CVSS 3.1 puanı olarak 9.8 ekledi. WordPress.org’a göre eklenti 10 milyondan fazla sitede etkin, ancak açık yalnızca 6 Ekim ile 21 Ekim arasında yayımlanan 6.2, 6.2.1, 6.2.2 ve 6.2.3 sürümlerini etkiliyor.

Açığın işleyişi

CVE kaydına ve WordPress güvenlik şirketi WPScan’in kaydına göre eklenti, formdaki dosya alanından yüklenen dosyaların türünü ya da uzantısını doğrulamıyor. Geçici dosyaları temizleyen koddaki bir hata da yüklenen dosyanın diskte kalmasına yol açıyor. CVE kaydının başlığına göre açık, geçersiz UTF-8 karakterler içeren dosya adlarıyla tetikleniyor. Geliştiriciye göre saldırganlar 6.2 ile 6.2.3 arasındaki sürümlerdeki birden fazla hatayı birlikte kullanarak normalde doğrulamaya takılması gereken dosyaları yükleyebiliyor ve gönderimden hemen sonra silinmesi gereken dosyaları sunucuda tutabiliyor.

Açığın etkisi sunucunun yapılandırmasına göre değişiyor:

• Debian ve Ubuntu’nun varsayılan Apache yapılandırması dizin içeriklerini listeliyor ve .phar uzantılı dosyaları PHP ile çalıştırıyor. Bu yapılandırmada yüklenen dosya bulunup çalıştırılabiliyor, yani saldırgan sunucuda kod çalıştırabiliyor.
• nginx ya da .htaccess dosyalarının ayarları geçersiz kılmasına izin veren Apache gibi diğer yapılandırmalarda etki, yüklemeler dizinine istenen bir dosyanın yazılmasıyla sınırlı. Ancak bu dosya sitenin kendi adresinden HTML ya da SVG gibi etkin içerik olarak sunulabiliyor.

Geliştiriciye göre teorik olarak dosya yükleme alanı bulunan ve dizin içeriklerini herkese açık listeleyen bir HTTP sunucusunda çalışan bütün formlar hedef olabiliyor. Açığı Shinya Murakami ve Jakub Herman bulup WPScan aracılığıyla bildirdi. WPScan kaydı 5 Kasım’da yayımladı.

CISA’nın CVE kaydındaki 8 Kasım tarihli değerlendirmesine göre açığın saldırılarda kullanıldığı bilinmiyor, ancak saldırı otomatikleştirilebilir ve teknik etkisi tam. Açık CISA’nın saldırılarda kullanılan açıklar listesinde (KEV) yer almıyor. Siber Güvenlik Başkanlığı da 9 Kasım’da yayımladığı TR-26-1482 numaralı WordPress eklenti bildiriminde bu açığı listeledi.

Etkilenen ve düzeltilmiş sürümler

• Etkilenen sürümler: 6.2 (6 Ekim), 6.2.1 (8 Ekim), 6.2.2 (11 Ekim) ve 6.2.3 (21 Ekim).
• Düzeltilmiş sürüm: 6.2.4 (29 Ekim). Eklentinin en güncel sürümü 6.2.4.1.

Geliştirici, açığın yalnızca 6.2 ile 6.2.3 arasındaki sürümlerde bulunduğunu, ancak güvenlik iyileştirmeleri eklentinin bütün sürümlerine uygulandığı için bütün kullanıcılara 6.2.4’e geçmeyi önerdiğini belirtiyor.

6.2.4 bazı kullanım biçimlerini etkileyen değişiklikler de getirdi. Çalıştırılabilir dosya adlarını temizleyen işlev artık engellenecek uzantılar listesi yerine izin verilen uzantılar listesi kullanıyor. Varsayılan listede yaygın ses, video ve resim biçimleri ile pdf ve txt var. Listede olmayan bir uzantıyla yüklenen dosyanın uzantısı güvenli bir biçime çevriliyor. Formlarında zip gibi başka dosya türleri kabul eden siteler bu uzantıları wpcf7_file_extension_safelist filtresiyle listeye ekleyebiliyor.

Önerilen önlemler

Contact Form 7’nin 6.2 ile 6.2.3 arasındaki bir sürümünü kullanan sitelerin eklentiyi hemen en az 6.2.4’e güncellemesi gerekiyor. Geliştiricinin ve WPScan’in açıklamalarında geçici bir önlem yer almıyor. Açıklamalara göre kod çalıştırma, sunucunun dizin içeriklerini listelemesine ve .phar uzantılı dosyaları PHP ile çalıştırmasına bağlı olduğundan, güncelleme yapılana kadar web sunucusunda dizin listelemenin ve .phar dosyalarının çalıştırılmasının kapalı olduğunu kontrol etmek riski azaltabilir, ancak bu dosya yüklenmesini engellemez.