Een pas ontdekte kwetsbaarheid, CVE-2025-7696, in de WordPress-plugin ‘Integration for Pipedrive and Contact Form 7, WPForms, Elementor, Ninja Forms’ zorgt voor ernstige veiligheidsrisico’s. Deze kwetsbaarheid stelt kwaadwillenden in staat om ongeautoriseerde PHP Object Injection uit te voeren. Ongeautoriseerde aanvallers kunnen willekeurige bestanden verwijderen of zelfs een denial of service veroorzaken door het verwijderen van de wp-config.php file.
Overzicht
Deze kwetsbaarheid is aanwezig in alle versies tot en met 1.2.3 van de genoemde plugin. Het probleem ligt in de verify_field_val() functie, waar onbetrouwbare input niet goed wordt verwerkt. Dit maakt het voor aanvallers mogelijk om een PHP Object te injecteren. In combinatie met een POP-chain in de Contact Form 7-plugin kan dit leiden tot de uitvoering van schadelijke code of het verwijderen van cruciale bestandssystemen.
Aanbevelingen
- Update de betrokken plugin naar een versie hoger dan 1.2.3 zodra een patch beschikbaar is.
- Controleer regelmatig op updates en beveiligingsadviezen via de officiële WordPress-pluginpagina’s.
- Overweeg het tijdelijk uitschakelen van de plugin om directe kwetsbaarheden te mitigeren.
Bronnen
- Wordfence Threat Intelligence
- Plugins Trac (Code Vergelijking)
- WordPress Plugin Pagina
- Plugins Trac Wijzigingenoverzicht
Vraag en Antwoord
Wat is CVE-2025-7696?
Een kritieke beveiligingslek in een WordPress-plugin die kan leiden tot ongeautoriseerde toegang en bestandsverwijdering.
Welke systemen zijn kwetsbaar voor CVE-2025-7696?
Alle systemen die de ‘Integration for Pipedrive, WPForms, Elementor, Ninja Forms’ plugin versie 1.2.3 of lager gebruiken.
Bestaat er al een patch of beveiligingsupdate?
Op het moment van schrijven is er nog geen patch beschikbaar. Houd de officiële kanalen in de gaten voor updates.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan ongeautoriseerd bestanden verwijderen, wat kan leiden tot volledige systeemuitval of zelfs het uitvoeren van schadelijke code.
