CVE-2024-12035 描述了 CS Framework 插件中存在的任意文件删除漏洞。该漏洞源于 cswidgetfile_delete() 函数中不充分的文件路径验证。攻击者可以删除服务器上的任意文件，从而可能导致远程代码执行。受影响的版本包括 7.0 及以下版本。由于没有官方补丁，用户应采取其他安全措施。
WordPress CS Framework 插件中的 CVE-2024-12035 漏洞代表着一个严重的安全性风险。它是一种任意文件删除漏洞，源于 cswidgetfile_delete() 函数中文件路径验证不足。 即使是具有订阅者级别或更高权限的经过身份验证的攻击者，也可以利用此漏洞删除服务器上的关键文件。 删除诸如 wp-config.php 之类的关键文件可能导致远程代码执行，从而完全破坏网站及其相关数据。 CVSS 严重程度评分为 8.8，表明风险很高，需要立即关注。 缺乏官方修复程序（fix: none）加剧了这种情况，迫使管理员采取预防措施。
对于具有订阅者或更高权限的经过身份验证的攻击者来说，利用 CVE-2024-12035 相对简单。 攻击者可以操纵请求以删除 WordPress 进程具有写入访问权限的任何文件。 删除 wp-config.php 是最关键的场景，它允许攻击者访问数据库凭据并可能完全控制网站。 由于缺乏适当的文件路径验证，因此利用是直接有效的。 缺少修复意味着易受攻击的 CS Framework 插件版本是攻击者的容易目标。
漏洞利用状态
EPSS
1.66% (82% 百分位)
CISA SSVC
CVSS 向量
由于 CS Framework 插件的开发商没有提供官方修复程序，因此减轻 CVE-2024-12035 需要采取积极的方法。 主要建议是，在发布安全更新之前，禁用或删除 CS Framework 插件。 如果插件对网站功能至关重要，请考虑通过自定义代码修改（具有极高的谨慎性和技术专业知识）来限制对 cswidgetfile_delete() 函数的访问。 实施更严格的访问控制，以限制具有订阅者或更高权限的用户，也可以降低风险。 最后，定期备份您的网站对于在攻击成功的情况下恢复数据至关重要。
将 CS Framework 插件更新到 7.0 之后的版本。这将修复任意文件删除漏洞。如果没有可用版本，请考虑禁用该插件，直到发布更新。
漏洞分析和关键警报直接发送到您的邮箱。
它是一个允许任意文件删除的 WordPress CS Framework 插件中的安全漏洞。
这意味着插件开发商尚未发布更新来解决此漏洞。
在发布安全更新之前，禁用或删除插件是最佳做法。
定期备份、限制用户访问以及考虑自定义代码修改（谨慎）。
wp-config.php 文件是最关键的，因为它包含数据库配置。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。