WordPress 安全插件 WP Ghost 存在远程代码执行漏洞

2025年4月16日09:05:14评论9 views字数 881阅读2分56秒阅读模式

流行的 WordPress 安全插件 WP Ghost 存在一个严重漏洞，可能允许未经身份验证的攻击者远程执行代码并劫持服务器。

WP Ghost 是一款流行的安全插件，被超过 200,000 个 WordPress 网站使用，据称每月可阻止 140,000 次黑客攻击和超过 900 万次暴力破解尝试。

它还提供针对 SQL 注入、脚本注入、漏洞利用、恶意软件投放、文件包含漏洞、目录遍历攻击和跨站点脚本的保护。

然而，正如 Patchstack 所揭示的，该安全工具本身容易受到一个严重的（CVSS 评分：9.6）远程代码执行 (RCE) 漏洞的攻击，可能导致整个网站被接管。

该漏洞编号为 CVE-2025-26909，影响 WP Ghost 5.4.01 及以下所有版本，源于“showFile()”函数中输入验证不足。利用该漏洞，攻击者可以通过操纵 URL 路径包含任意文件。

仅当 WP Ghost 的“更改路径”功能设置为 Lite 或 Ghost 模式时才会触发此漏洞。尽管默认情况下不启用这些模式，但 Patchstack 指出，本地文件包含 (LFI) 部分适用于几乎所有设置。

Patchstack 的报告中写道：“该漏洞是由于用户通过包含为文件的 URL 路径输入的值不足而发生的。”

“由于 LFI 案例的行为，此漏洞可能导致几乎所有环境设置上的远程代码执行。”

因此，该漏洞普遍允许 LFI，但是否升级为 RCE 取决于具体的服务器配置。

没有 RCE 的 LFI 仍然可能通过信息泄露、会话劫持、日志中毒、访问源代码和拒绝服务 (DoS) 攻击等场景造成危险。

2025 年 2 月 25 日，研究员 Dimas Maulana 发现该漏洞后，Patchstack 对其进行了内部分析，并最终于 3 月 3 日通知了供应商。

第二天，WP Ghost 的开发人员以对用户提供的 URL 或路径进行额外验证的形式修复了该问题。

该补丁已包含在 WP Ghost 5.4.02 版本中，同时 5.4.03 版本也已发布。

建议用户升级到任一版本以缓解 CVE-2025-26909。

信息来源：BleepingComputer

原文始发于微信公众号（犀牛安全）：WordPress 安全插件 WP Ghost 存在远程代码执行漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

【红队】Pillager:后渗透信息收集工具