Malcode und Upload von Files über CF7

Ich möchte für eine WP-Seite das Plugin Contact Form 7 nutzen. Besucher der Seite sollen Texte und Bilder hochladen können. Die Art der Texte und Bilder sollte nicht stark eingeschränkt werden (also z. B. nicht nur docx Texte und .jpg Bilder).

Weiters sollen die Uploads danach nicht per Mail verschickt werden, sondern am Server bleiben und vom Seitenbetreiber manuell herunter geladen werden. Dafür würde ich das Plugin "Flamingo" nutzen.

Der Seitenbetrieber erhält lediglich eine Mailnachricht, die sagt, dass eine neue Nachricht hochgeladen wurde.

Probleme:
Meiner Meinung nach ist das Hochladen extrem gefährlich, weil es Hackern die Möglichkeit bietet, Malcode auf den Server zu laden. Kennt jemand Workarounds, die das Risiko minimieren? Gerne auch mit anderen Plugins, es müssen nicht CF7 und Flamingo sein.

Danke für Tipps!
Raphael

Das wundert mich jetzt. Du meinst, dass es kein Problem wäre, dass man in einem Kontaktformular alle Arten von Files hochlädt und die über Flamingo direkt am Server gespeichert werden? Ich dachte, das wäre ABSOLUT zu vermeiden und extrem gefährlich.

Hier z. B. https://patchstack.com/how-to-protect…le-upload-form/

[size=14]What are the risk factors of unrestricted file uploads?[/SIZE]
There are many risk factors associated with unsecured file upload systems including:

[size=12]Server-side attacks[/SIZE]
If a hacker successfully places an executable file on your server, they may use it to launch server-side attacks.

For example, if they upload a web shell, they may use it to take control of certain parts of your web server.

Danke für Deinen Einwand. Falls ich falsch liege, wäre ich sehr froh. ;)

Ja wie erwähnt. Ich wäre sehr froh, wenn ich mich in dem Pumkt irre. Kennt jemand ev. einen Link, wo das noch genauer ausgeführt wird? Oder ist das ein Problem, das ich mir selbst ausgedacht habe, und für das es daher keine Informationen gibt?

Ich habe inzwischen eine Antwort von Hetzner erhalten. Hetzner meint, dass das Risiko durchaus gegeben ist und dass es bei Hetzner einen eigenen Scan gibt, den man per PHP integriert. Vor einem Upload werden dann alle Files gescannt und wenn sie problematisch sind, nicht auf den Server gelassen.

Leider hatte cih also doch recht. :(

Ja, OK. Ich bin ja derzeit am Fakten sammeln. Danke also für alle bisherigen Posts. Es wäre also sinnvoll vor dem Upload, spätestens aber vor dem Download auf den Rechner des Empfängers (also der dann mit den Files arbeiten wird) eine Prüfung auf Malcode durchzuführen. Der gesamte Ablauf könnte dann so aussehen_:

1) Captcha, damit nicht irgendwelche Bots ihre Files dort abladen
2) Ev. Prüfung vor dem Upload (Wird z. B, bei Hetzner im Hostingpaket standardmäßig angeboten)
3) Der Ordner in dem die Files liegen hat Rechte, die eine ausführung der Dateien am Server unmöglich machen.
4) Spätesteter Zeitpunkt für eine Prüfung: Vor dem Download

Dankel für eure Posts!