Mayosis Core <= 5.4.1 - Niet-geauthenticeerde Willekeurige Bestandslezing

Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om gevoelige bestanden op de server te lezen, zoals configuratiebestanden, database credentials of broncode. Het misbruiken van deze kwetsbaarheid kan leiden tot datalekken, compromittering van de server en verdere ongeautoriseerde toegang. De kwetsbaarheid bevindt zich in het bestand library/wave-audio/peaks/remote_dl.php, wat suggereert dat de kwetsbaarheid gerelateerd is aan het downloaden van audiobestanden. Een succesvolle exploitatie vereist geen authenticatie, waardoor de aanvalsoppervlakte aanzienlijk wordt vergroot.

WordPress websites using the Mayosis Core plugin, particularly those running versions 0.0.0 through 5.4.1, are at risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable, as attackers could potentially leverage this vulnerability to access files belonging to other users on the same server.

• wordpress / composer / npm:

grep -r 'remote_dl.php' /var/www/html/wp-content/plugins/mayosis-core/

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/mayosis-core/library/wave-audio/peaks/remote_dl.php

• wordpress / composer / npm:

wp plugin list --status=inactive | grep mayosis-core

1. 2025-04-25Disclosure

   disclosure

1. Gereserveerd2025-02-21
2. Gepubliceerd2025-04-25
3. Gewijzigd2026-04-08
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het updaten van de Mayosis Core plugin naar de meest recente versie, die de kwetsbaarheid verhelpt. Indien een directe upgrade niet mogelijk is, overweeg dan het tijdelijk beperken van de toegang tot het library/wave-audio/peaks/remote_dl.php bestand via een web application firewall (WAF) of proxy server. Controleer de WordPress plugin directory op officiële updates en volg de instructies van de plugin-ontwikkelaar. Na de update, verifieer de fix door te proberen een willekeurig bestand op de server te lezen via de kwetsbare endpoint.