關鍵詞

網絡攻擊

在InstaWP Connect WordPress 插件中發現了一個嚴重的安全漏洞，可能使數千個網站面臨遠程攻擊。

Wordfence 的安全研究人員發現并報告了這個嚴重漏洞 (CVE-2025-2636)，該漏洞允許未經身份驗證的攻擊者在受影響的網站上執行任意代碼。該漏洞的 CVSS 評分為 9.8，為最高嚴重程度評級，網站管理員應立即更新。

InstaWP Connect插件LFI漏洞

該漏洞影響 InstaWP Connect 插件的所有版本，最高版本（包括 0.1.0.85）。

此本地文件包含 (LFI) 缺陷存在于插件的數據庫管理功能中，可通過 instawp-database-manager 參數利用。

技術分類是 CWE-73：將路徑名不當限制在受限目錄中（“路徑遍歷”）。

InstaWP Connect 是一款流行的 WordPress 暫存和遷移插件，使用戶能夠創建一鍵暫存環境并執行站點遷移。

該插件作為 InstaWP 的配套工具，允許用戶將現有的 WordPress 網站連接到 InstaWP 平臺以進行登臺、開發和測試。

安全研究員 Cheng Liu發現該插件在將用戶輸入（包括函數）傳遞給 PHP 之前未能正確驗證用戶輸入。

惡意行為者可以使用簡單的 HTTP 請求結構來利用此漏洞：

此請求可能允許攻擊者在無需身份驗證的情況下在服務器上包含并執行任意文件。該漏洞利用向量尤其危險，因為：

• 無需用戶身份驗證
• 可以遠程執行
• 它可能造成服務器完全被攻陷

該漏洞的摘要如下：

風險因素細節受影響的產品 WordPress 的 InstaWP Connect 插件（版本 <= 0.1.0.85） 影響 – 包含并執行任意 PHP 文件 – 繞過訪問控制 – 獲取敏感數據 – 實現代碼執行 漏洞利用前提條件

無需身份驗證；可進行遠程利用 CVSS 3.1 評分 9.8（嚴重）對 WordPress 網站的影響

該漏洞允許攻擊者繞過訪問控制，獲取敏感數據（包括數據庫憑據），并實現代碼執行。 在允許上傳圖像或其他“安全”文件類型的情況下，攻擊者可以上傳偽裝成合法文件的惡意 PHP 代碼，然后利用 LFI 漏洞執行它們。

根據 VulDB 情報，該漏洞的潛在利用價格估計在 0 至 5,000 美元之間，表明其相對容易被利用。 CVSS 向量 CVSS：3.1 確認攻擊向量可通過網絡訪問，復雜度低，并且不需要特權或用戶交互。運行 InstaWP Connect 的網站管理員應立即更新到 0.1.0.86 或更新版本，其中包含針對此漏洞的補丁。

如果無法立即更新，建議暫時停用該插件，直到可以應用更新。此漏洞與 InstaWP Connect 早期版本中發現的安全問題類似，包括 0.1.0.44 和 0.1.0.38 版本中的身份驗證繞過漏洞。這凸顯了維護最新插件安裝的重要性。

WordPress 安全專家強調，這種類型的漏洞特別危險，因為它可能被完全未經身份驗證的用戶利用，從而可能導致整個網站受到攻擊。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！