WordPress 插件漏洞使超20万个网站面临代码执行攻击威胁

WP Ghost 是一款广受欢迎的 WordPress 安全插件，拥有超 20 万活跃安装量，目前该插件存在一个严重漏洞。

这个高严重性漏洞编号为 CVE-2025-26909，CVSS 评分为 9.6。未经身份验证的攻击者可利用此漏洞，通过本地文件包含（LFI）漏洞实现远程代码执行（RCE）。

强烈建议网站管理员立即将插件更新至 5.4.02 版本或更高版本，以降低这一严重的安全风险。

严重的本地文件包含漏洞

该严重漏洞由 Patchstack Alliance 的安全研究员Dimas Maulana发现。

漏洞存在于 WP Ghost 插件的文件处理功能中，具体位于插件代码库内的 showFile 函数。此漏洞源于对可作为文件包含的 URL 路径中的用户输入验证不足。

Patchstack 安全团队表示：“WP Ghost 插件存在未经身份验证的本地文件包含漏洞。由于对将作为文件包含的 URL 路径中的用户输入值验证不足，从而引发了该漏洞。”

技术分析显示，该漏洞可通过以下函数调用链被利用：

当 maybeShowNotFound 函数挂钩到 template_redirect 时，漏洞被触发，未经身份验证的用户能够访问该函数。

若未经身份验证的用户访问的路径未找到，就会触发存在漏洞的代码路径，最终使得攻击者可进行路径遍历，并在服务器上包含任意文件。

攻击途径及影响

安全公告指出，虽然此漏洞需要将 WP Ghost 中的 “Change Paths” 功能设置为 “Lite ” 或 “Ghost ” 模式（默认未启用），但一旦可被利用，攻击者便能借助多种技术实现远程代码执行，包括 php:// 过滤器链以及 PHP_SESSION_UPLOAD_PROGRESS 技巧。

研究人员称：“这种类型的本地文件包含漏洞格外危险，因为它为在受影响网站上执行恶意代码提供了直接途径。”

在 2025 年 3 月 3 日接到通知后，插件开发者John Darrel于 3 月 4 日迅速发布了 5.4.02 版本以修复该漏洞。补丁对用户提供的 URL 和路径实施了额外验证：

对于使用 WP Ghost 的 WordPress 网站管理员，建议立即采取以下行动：

1.更新至 WP Ghost 5.4.02 版本或更高版本。

2.若之前运行的是易受攻击的版本，需核实网站是否已遭入侵。

3.若管理关键网站，可考虑实施额外的安全措施。

WordPress 安全社区已结成联盟，以应对整个生态系统中的类似漏洞。Patchstack 已将此漏洞纳入其数据库，并为其客户提供保护。

研究人员称：“提升 WordPress 生态系统的安全性需要团队协作。我们认为插件开发者和安全研究员应通过像我们的 mVDP（托管漏洞披露计划）这类项目共同努力，高效地报告、管理和解决漏洞问题。”
该漏洞的发现及负责任的披露凸显了 WordPress 生态系统持续面临的安全挑战，WordPress 为互联网上约 43% 的网站提供支持。