[緊急・対処方法] Contact Form 7 v5.3.1以下にファイルアップロードの脆弱性

５００万サイトに導入されているContact Form 7プラグイン5.3.1以下にファイルアップロード可能(最も危険性の高い)脆弱性が発見されました。

注意喚起　Contact Form 7 5.3.1以下にファイルアップロードの脆弱性

Astra社の発見したこの脆弱性によると、５００万サイトが影響を受けるこの脆弱性により

・ウェブシェル(悪意のあるプログラム)をアップロードして悪意のあるスクリプトを注入することが可能
・同一サーバー上のウェブサイト間でコンテナ化が行われていない場合は、サーバー内全てのサイトへ脆弱性による被害が拡大する可能性があるとのこと

厳重な警戒が必要となります。

CVEスコア(脆弱性の危険度)１０ポイントと最高レベルの脆弱性スコアが付与されました
https://nvd.nist.gov/vuln/detail/CVE-2020-35489

１　Contact Form 7を最新バージョンにアップデートします

２　上記が困難な場合は脆弱性のある該当のファイルに手作業でパッチを当てます
Contact Form7開発者の方のプログラム修正履歴を見ると、下記の修正が脆弱性をふさぐと思われます。

wp-content/plugins/contact-form-7/includes/formatting.php
のwpcf7_antiscript_file_name　関数の下の$filenameが一度basename関数を通った後に

$filename = preg_replace( '/[\pC\pZ]+/i', '', $filename ); //この行を追加

というように上記１行を追加してください。