Platform
wordpress
Component
hide-my-wp
Opgelost in
5.4.02
CVE-2025-2056 beschrijft een Path Traversal kwetsbaarheid in de WP Ghost (Hide My WP Ghost) – Security & Firewall plugin voor WordPress. Deze kwetsbaarheid stelt ongeauthenticeerde aanvallers in staat om via de showFile functie de inhoud van specifieke bestanden op de server te lezen, mogelijk met gevoelige informatie. De kwetsbaarheid treft versies van de plugin van 0.0.0 tot en met 5.4.01. Een fix is beschikbaar in versie 5.4.02.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot bestanden op de webserver waarop de WordPress-site draait. Dit omvat potentieel configuratiebestanden, database back-ups, of andere gevoelige data die door de applicatie worden gebruikt. De impact kan variëren afhankelijk van de bestanden die toegankelijk zijn, maar kan in het ergste geval leiden tot volledige compromittering van de server. Het is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij aanvallers de directory structuur kunnen omzeilen om toegang te krijgen tot verboden bronnen. De kwetsbaarheid is niet afhankelijk van authenticatie, waardoor een brede groep aanvallers er potentieel van kan profiteren.
De kwetsbaarheid is openbaar bekend gemaakt op 2025-03-14. Er is momenteel geen informatie beschikbaar over actieve exploits in de wild, maar de lage complexiteit van de exploitatie maakt het waarschijnlijk dat er binnenkort proof-of-concept exploits beschikbaar komen. De kwetsbaarheid is niet opgenomen in de CISA KEV catalogus op het moment van schrijven. Het is belangrijk om snel te reageren en de plugin te updaten om het risico te minimaliseren.
WordPress websites using the WP Ghost (Hide My WP Ghost) – Security & Firewall plugin, particularly those running versions 0.0.0 through 5.4.01, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r "showFile function" /var/www/html/wp-content/plugins/wp-ghost/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/wp-ghost/showFile?file=../../../../etc/passwd' # Attempt to access sensitive filedisclosure
Exploit Status
EPSS
1.29% (80% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-2056 is het updaten van de WP Ghost (Hide My WP Ghost) plugin naar versie 5.4.02 of hoger. Indien een directe upgrade niet mogelijk is (bijvoorbeeld vanwege compatibiliteitsproblemen met andere plugins of thema's), overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de showFile functie via een web application firewall (WAF) of proxy. Configureer de WAF om verzoeken met verdachte paden te blokkeren. Controleer ook de bestandsrechten op de server om te zorgen dat alleen de webserver-gebruiker toegang heeft tot gevoelige bestanden. Na de upgrade, controleer de server logs op verdachte activiteit rond de showFile functie om te bevestigen dat de kwetsbaarheid is verholpen.
Actualice el plugin WP Ghost (Hide My WP Ghost) – Security & Firewall a la versión 5.4.02 o superior para mitigar la vulnerabilidad de Path Traversal. Esta actualización corrige el problema permitiendo que el acceso a archivos esté restringido y evitando la lectura no autorizada de archivos sensibles.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-2056 is a Path Traversal vulnerability affecting the WP Ghost plugin for WordPress, allowing attackers to read sensitive files on the server.
You are affected if you are using WP Ghost plugin versions 0.0.0 through 5.4.01. Upgrade to 5.4.02 or later to resolve the issue.
Upgrade the WP Ghost plugin to version 5.4.02 or later. Consider temporary workarounds like restricting file access permissions if immediate upgrade is not possible.
As of the public disclosure date, there are no confirmed reports of active exploitation, but the vulnerability is publicly known.
Refer to the official WP Ghost plugin website or WordPress plugin repository for the latest advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.