文件管理器高级短代码 <= 多个版本 - 认证 (管理员+) 短代码通过本地 JavaScript 文件包含漏洞

攻击者利用此漏洞可以执行恶意JavaScript代码，从而完全控制受影响的WordPress站点。他们可以窃取数据库凭据、用户数据、上传恶意文件，甚至完全接管服务器。由于攻击者需要管理员权限才能利用此漏洞，因此其影响范围主要集中在拥有管理员帐户的内部威胁或具有管理员帐户凭据的外部攻击者。如果攻击者能够成功执行JavaScript代码，他们可以绕过任何安全措施，并访问站点上的任何文件和资源。该漏洞的潜在影响非常严重，可能导致数据泄露、服务中断和声誉损害。

WordPress sites utilizing the File Manager Advanced Shortcode plugin, particularly those with administrator accounts that have access to the file management functionality, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / plugin:

wp plugin list | grep 'File Manager Advanced Shortcode'

• wordpress / plugin: Check the plugin version. If it's <= 2.5.6, the system is vulnerable.

wp plugin list --status=active | grep 'File Manager Advanced Shortcode'

• wordpress / plugin: Examine WordPress logs for suspicious file inclusion attempts involving the 'filemanageradvanced' shortcode.

grep 'file_manager_advanced' /var/log/apache2/error.log

• wordpress / plugin: Review file upload directories for unexpected JavaScript files.

ls -l /path/to/wordpress/wp-content/uploads/

1. 2025-05-15Disclosure

   disclosure

1. 已保留2025-03-01
2. 发布日期2025-05-15
3. 修改日期2025-07-01
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将File Manager Advanced Shortcode插件升级至2.6.0版本或更高版本。如果升级会导致站点中断，可以考虑回滚到之前的稳定版本，并暂时禁用该插件。此外，可以实施Web应用防火墙（WAF）规则，以阻止对'filemanageradvanced'短代码的恶意请求。建议审查WordPress站点上的所有文件上传和包含操作，以确保它们受到适当的验证和清理。定期扫描WordPress插件是否存在已知漏洞，并及时应用补丁。