影响500万+WordPress的插件，官网最新版本仍存在命令执行漏洞

免责声明：本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方书面授权，严禁将公众号内的任何内容用于未经授权的渗透测试、漏洞利用或攻击行为。 所有人仅可在自己合法拥有或管理的系统环境中进行本地漏洞复现与安全测试，或用于具有明确授权的合法渗透测试项目。所有人不得以任何形式利用公众号内提供的内容从事非法、侵权或其他不当活动。 如因违反上述规定或不当使用本公众号提供的任何内容，造成的一切法律责任、经济损失、纠纷及其他任何形式的不利后果，均由相关成员自行承担，与本公众号无任何关联。

研究背景

我们知道，当WordPress某个插件被爆出漏洞时，该插件在官网的插件库大概率会被暂停提供或放出已修复的新版本，如上一条公众号的CVE-2025-30567漏洞中用到的wp01插件：“这款插件自 2025 年 3 月 14 日起已被下架，暂时无法下载。此次下架为临时措施，正在等待全面审核。”

今天在寻找漏洞素材的时候发现了一件不同寻常的事情，如下图：“该漏洞影响 CMP – Coming Soon & Maintenance 插件的所有版本（从未知版本到 4.1.13）。”我们发现 <= 4.2.13版本存在该漏洞

但在WordPress官网的插件库中（ https://wordpress.org/plugins/cmp-coming-soon-maintenance/advanced/ ），该插件的最新版本就是4.1.13，最新的版本仍然存在漏洞。

但这毕竟只是理论上的，想要具体证明还得是把这个插件拖到本地来实际复现一下。

环境部署

那我们首先开始部署漏洞环境：

具体POC及一键部署环境见文末

在下图文件夹中执行一条命令即可部署环境

docker-compose up -d

访问 http://your-ip:8000 出现如下页面证明部署成功

选择好语言，接着点“Continue”正常创建一下网站，在插件处启用一下CMP - Coming Soon & Maintenance Plugin即可成功部署环境

漏洞复现

利用如下python脚本，-t参数是目标wordpress地址，-u参数是admin用户的用户名，-p参数是admin用户的密码。

使用命令python POC-CVE-2025-32118.py -t http://10.211.55.2:8000 -u admin -p admin成功执行了whoami命令

我们去浏览器执行一下其他命令也是可以成功的：

漏洞修复

•插件作者暂未发布修复版本，建议暂时禁用该插件

知识星球

漏洞利用POC及复现环境可在知识星球内自行领取

星球不定期更新市面上最新的热点漏洞及复现环境，欢迎加入交流和学习

市面热点漏洞，与deepseek本地部署息息相关的：Ollama任意文件读取漏洞（CVE-2024-37032）复现环境及POC

本月最新披露漏洞：Vite任意文件读取漏洞（CVE-2025-30208）复现及漏洞环境

实战渗透测试技巧分享&讨论：某次若依系统渗透测试带来的思考与讨论

一些比较新奇有趣的漏洞分享：Windows拖拽图标而触发的漏洞

知识星球限时新人立减券发放

原文始发于微信公众号（天翁安全）：影响500万+WordPress的插件，官网最新版本仍存在命令执行漏洞