Duizenden WordPress-websites lopen momenteel gevaar door ernstige beveiligingslekken in de plug-in HT Contact Form Widget For Elementor Page Builder & Gutenberg Blocks & Form Builder. Deze populaire plug-in, gebruikt door meer dan 10.000 sites, bevat drie kritieke kwetsbaarheden waarmee aanvallers op afstand controle over de website kunnen verkrijgen — zonder in te loggen.

CVE-2025-7340 laat een aanvaller willekeurige bestanden uploaden naar de server en heeft een CVSS-score van 9.8.

CVE-2025-7341 en CVE-2025-7360 maken het mogelijk om belangrijke bestanden zoals wp-config.php te verwijderen of te verplaatsen, met alle risico’s van dien. Beide zijn beoordeeld met een score van 9.1.

Hoewel de problemen op 10 juli zijn opgelost in versie 2.2.2, draait volgens WordPress.org nog meer dan 60% van de websites een kwetsbare versie van de plug-in.

Advies: Update direct naar versie 2.2.2 om misbruik te voorkomen. Securitybedrijven zoals Wordfence en Patchstack houden al rekening met grootschalige aanvallen.