9万个WordPress站点面临本地文件包含漏洞攻击
💡
原文中文，约1200字，阅读约需3分钟。
📝
内容提要
WordPress的Jupiter X Core插件存在CVE-2025-0366安全漏洞，影响超过9万网站。攻击者可上传恶意SVG文件并执行任意代码。已发布修复版本，建议用户及时更新并加强安全措施。
🎯
关键要点
- WordPress的Jupiter X Core插件存在CVE-2025-0366安全漏洞，影响超过9万个网站。
- 该漏洞允许具有贡献者权限的攻击者上传恶意SVG文件并执行任意代码。
- 漏洞利用了Jupiter X Core中的两个连锁弱点，导致本地文件包含（LFI）和远程代码执行（RCE）风险。
- 攻击者可以通过操纵$file_name参数实现路径遍历，进而执行恶意代码。
- 研究人员通过Wordfence的漏洞赏金计划发现此漏洞，并获得782美元的奖励。
- 该漏洞的严重性在于权限提升、数据泄露和持久化攻击的风险。
- 插件开发商Artbees已于2025年1月29日发布了修复版本（4.8.8），加强了文件验证和路径清理。
- 建议用户更新至Jupiter X Core 4.8.8及以上版本，并审核用户角色以减少贡献者账户。
- 管理员应使用自动化扫描工具并订阅威胁情报源以获取实时警报。
- 检查自定义主题/插件是否存在类似的文件处理漏洞，特别是在SVG/XML解析器中。
❓
延伸问答
Jupiter X Core插件的安全漏洞是什么？
Jupiter X Core插件存在CVE-2025-0366安全漏洞，允许攻击者上传恶意SVG文件并执行任意代码。
这个漏洞影响了多少个WordPress网站？
该漏洞影响超过9万个WordPress网站。
攻击者如何利用这个漏洞？
攻击者可以通过上传恶意SVG文件并操纵$file_name参数实现路径遍历，从而执行任意代码。
如何修复Jupiter X Core插件的漏洞？
用户应更新至Jupiter X Core 4.8.8及以上版本，并审核用户角色以减少贡献者账户。
这个漏洞的严重性有哪些？
漏洞的严重性在于权限提升、数据泄露和持久化攻击的风险。
如何加强WordPress网站的安全性？
管理员应使用自动化扫描工具，订阅威胁情报源，并检查自定义主题/插件是否存在类似漏洞。
➡️
