Plateforme
wordpress
Composant
lbg-cleverbakery
Corrigé dans
2.5.4
Une vulnérabilité d'accès arbitraire de fichiers (Path Traversal) a été découverte dans le plugin HTML5 Radio Player - WPBakery Page Builder Addon. Cette faille permet à un attaquant de lire des fichiers sensibles sur le serveur. Elle affecte les versions du plugin comprises entre 0.0.0 et 2.5 inclus. Une version corrigée, 2.5.4, est désormais disponible.
L'exploitation réussie de cette vulnérabilité permet à un attaquant de contourner les restrictions d'accès aux fichiers et de lire des fichiers arbitraires sur le serveur web. Cela peut inclure des fichiers de configuration contenant des informations sensibles, des fichiers de code source contenant des secrets, ou des fichiers de données contenant des informations confidentielles. Un attaquant pourrait potentiellement obtenir un accès non autorisé à des informations critiques, compromettre la confidentialité des données et, dans certains cas, prendre le contrôle du serveur. Cette vulnérabilité est similaire à d'autres failles de Path Traversal qui ont permis l'extraction de clés API et d'autres informations sensibles.
Cette vulnérabilité a été rendue publique le 16 juillet 2025. Aucune preuve d'exploitation active n'est actuellement disponible. La probabilité d'exploitation est considérée comme moyenne en raison de la nature relativement simple de l'exploitation d'une faille de Path Traversal et de la popularité du plugin WordPress concerné. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour d'éventuelles mises à jour.
WordPress websites utilizing the HTML5 Radio Player - WPBakery Page Builder Addon, particularly those running older versions (0.0.0–2.5), are at risk. Shared hosting environments where users have limited control over plugin installations are also particularly vulnerable.
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/lbg-cleverbakery/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/lbg-cleverbakery/../../../../etc/passwd' # Check for file disclosuredisclosure
Statut de l'Exploit
EPSS
0.08% (percentile 23%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin HTML5 Radio Player - WPBakery Page Builder Addon vers la version 2.5.4. Si la mise à jour n'est pas possible immédiatement, envisagez de restreindre l'accès au plugin via un pare-feu d'application web (WAF) en bloquant les requêtes contenant des séquences de Path Traversal (../). Vérifiez également les fichiers de logs du serveur web pour détecter des tentatives d'accès suspectes. Après la mise à jour, vérifiez l'intégrité du plugin en recherchant des fichiers modifiés de manière inattendue.
Actualice el plugin HTML5 Radio Player - WPBakery Page Builder Addon a la versión 2.5.4 o superior para mitigar la vulnerabilidad de recorrido de directorio. Esta actualización corrige la forma en que el plugin maneja las rutas de archivos, evitando el acceso no autorizado a archivos sensibles.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-31070 is a HIGH severity vulnerability allowing attackers to read files outside of intended directories in the HTML5 Radio Player plugin for WordPress.
You are affected if you are using the HTML5 Radio Player - WPBakery Page Builder Addon versions 0.0.0 through 2.5. Check your plugin versions immediately.
Upgrade the HTML5 Radio Player - WPBakery Page Builder Addon to version 2.5.4 or later to resolve this vulnerability.
As of the current date, there are no confirmed reports of active exploitation, but it's crucial to apply the patch promptly.
Refer to the LambertGroup website and WordPress plugin repository for the latest advisory and update information regarding CVE-2025-31070.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.