一、 漏洞 CVE-2024-12267 基础信息
漏洞标题
Contact Form 7 <= 1.3.8.5 版本中存在有限任意文件删除漏洞
来源：AIGC 神龙大模型
漏洞描述信息
WordPress插件Drag and Drop Multiple File Upload – Contact Form 7在所有版本（包括）1.3.8.5及之前版本中存在任意文件删除漏洞。该漏洞是由于dnd_codedropz_upload_delete()函数在文件路径验证不充分导致的。这使得未经过身份验证的攻击者能够在服务器上删除有限的任意文件。但是，无法删除如wp-config.php这样的文件，因此不会导致远程代码执行。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：AIGC 神龙大模型
漏洞标题
Drag and Drop Multiple File Upload – Contact Form 7 <= 1.3.8.5 - Limited Arbitrary File Deletion
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The Drag and Drop Multiple File Upload – Contact Form 7 plugin for WordPress is vulnerable to limited arbitrary file deletion due to insufficient file path validation in the dnd_codedropz_upload_delete() function in all versions up to, and including, 1.3.8.5. This makes it possible for unauthenticated attackers to delete limited arbitrary files on the server. It is not possible to delete files like wp-config.php that would make RCE possible.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
文件名或路径的外部可控制
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2024-12267 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-12267 的情报信息