WordPress CM Download Manager 插件 <= 2.9.6 - 任意文件删除漏洞
平台
wordpress
组件
cm-download-manager
修复版本
2.9.7
CVE-2025-30910 描述了 CreativeMindsSolutions CM Download Manager 中的路径遍历漏洞。该漏洞允许攻击者通过构造恶意请求访问系统中的任意文件，可能导致敏感信息泄露或系统被篡改。该漏洞影响 CM Download Manager 的 0.0.0 到 2.9.6 版本。已发布修复补丁，建议尽快升级。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此路径遍历漏洞访问服务器上的任意文件，包括配置文件、源代码、数据库备份等。如果服务器上存储了敏感信息，攻击者可能获取这些信息，造成严重的数据泄露。此外，攻击者还可能利用此漏洞修改服务器上的文件，篡改系统配置，甚至执行恶意代码。该漏洞的潜在影响范围取决于服务器上存储的数据以及攻击者对系统的访问权限。
利用背景
该漏洞已公开披露，存在公开的利用方法。目前尚无关于该漏洞被大规模利用的报告，但由于其易于利用，建议尽快采取缓解措施。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的安全风险。
哪些人处于风险中翻译中…
WordPress websites utilizing the CM Download Manager plugin, particularly those with older versions (0.0.0 - 2.9.6), are at risk. Shared hosting environments where users have limited control over plugin installations are especially vulnerable.
检测步骤翻译中…
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/cm-download-manager/*• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/cm-download-manager/../../../../etc/passwd攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.38% (59% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 已改变 — 攻击可以超出脆弱组件，影响其他系统。
- Confidentiality
- 无 — 无机密性影响。
- Integrity
- 无 — 无完整性影响。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
软件包信息
- 活跃安装数
- 100小众
- 插件评分
- 3.9
- 兼容至
- 7.0
- 需要PHP版本
- 5.2.4+
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 CM Download Manager 升级至 2.9.7 或更高版本。如果无法立即升级，可以尝试限制 CM Download Manager 的访问权限，例如将其部署在隔离的网络环境中。此外，还可以使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。配置 WAF 规则以过滤包含 '../' 或其他路径遍历字符的请求。定期审查 CM Download Manager 的配置，确保其安全性。
修复方法翻译中…
Actualice el plugin CM Download Manager a la última versión disponible para mitigar la vulnerabilidad de recorrido de directorio. Verifique las notas de la versión del plugin para obtener instrucciones específicas de actualización. Considere implementar medidas de seguridad adicionales, como restringir el acceso a archivos sensibles y validar las entradas del usuario.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2025-30910 — 路径遍历漏洞在 CM Download Manager 中？
CVE-2025-30910 是 CM Download Manager 中发现的路径遍历漏洞，允许攻击者访问系统中的任意文件。
我是否受到 CVE-2025-30910 在 CM Download Manager 中影响？
如果您正在使用 CM Download Manager 的 0.0.0 到 2.9.6 版本，则您可能受到此漏洞的影响。
我如何修复 CVE-2025-30910 在 CM Download Manager 中？
请立即将 CM Download Manager 升级至 2.9.7 或更高版本。
CVE-2025-30910 是否正在被积极利用？
虽然目前尚未确认大规模利用，但由于漏洞易于利用，建议尽快采取缓解措施。
在哪里可以找到 CreativeMindsSolutions 官方关于 CVE-2025-30910 的公告？
请访问 CreativeMindsSolutions 的官方网站或安全公告页面，查找有关 CVE-2025-30910 的详细信息。