今年最新的影响10万+WordPress的任意文件包含漏洞（CVE-2025-1661）

免责声明：本公众号所提供的所有信息仅供参考，仅用作网络安全学习与研究。因用户传播或使用本公众号内容所导致的任何直接或间接后果和损失，均由用户自行承担，本公众号及作者不承担任何责任。如有侵权行为，请及时告知，我们将立即删除并表示歉意。感谢您的理解！

漏洞介绍

HUSKY – Products Filter Professional for WooCommerce 是一款专为 WooCommerce 商店设计的高级产品过滤插件，之前被称为 WOOF。 它为客户提供了通过类别、属性、产品标签、自定义分类法和价格等条件筛选产品的功能。 这款插件在 WordPress 平台上已被超过 100,000 个站点安装使用， 并且与 WPML 完全兼容，支持多语言网站的构建。

WordPress 的 HUSKY – Products Filter Professional for WooCommerce 插件在 1.3.6.5 及之前的所有版本中，存在 本地文件包含（LFI） 漏洞，漏洞源自 woof_text_search AJAX 操作的 template 参数。该漏洞使未经身份验证的攻击者能够包含并执行服务器上的任意文件，从而执行这些文件中的任意 PHP 代码。利用该漏洞，攻击者可以绕过访问控制、获取敏感数据，甚至在允许上传图片或其他“安全”文件类型的情况下，实现代码执行。

漏洞条件

1.WordPress安装HUSKY – Products Filter Professional for WooCommerce插件且版本 <= 1.3.6.5

可以看到，未经身份验证的攻击者也可以利用此漏洞，这就大大降低了利用成本，提高了漏洞价值。

漏洞复现

Payload如下，执行成功可以读取到/etc/passwd文件内容

漏洞修复

•升级到1.3.6.6或更高版本

知识星球

漏洞POC可在知识星球内自行领取

星球不定期更新市面上最新的热点漏洞及复现环境，欢迎加入交流和学习：

1. 市面热点漏洞，与deepseek本地部署息息相关的：Ollama任意文件读取漏洞（CVE-2024-37032）复现环境及POC

2. 本月最新披露漏洞：Label Studio前台XSS漏洞（CVE-2025-25296）复现及漏洞环境

3. 一些比较新奇有趣的漏洞分享：Windows拖拽图标而触发的漏洞

知识星球限时新人立减券发放

原文始发于微信公众号（天翁安全）：今年最新的影响10万+WordPress的任意文件包含漏洞（CVE-2025-1661）