Elementor Addons by Livemesh <= 8.3.7 - 认证 (贡献者+) 有限的本地文件包含漏洞通过小部件

该LFI漏洞的潜在影响非常严重。攻击者可以利用此漏洞包含并执行任意PHP代码，从而完全控制受影响的WordPress网站。攻击者可以读取服务器上的任何文件，包括包含数据库凭据、API密钥和其他敏感信息的配置文件。此外，攻击者还可以利用此漏洞上传恶意文件，并在服务器上执行任意代码，从而实现远程代码执行 (RCE)。这种攻击可能导致数据泄露、网站篡改、服务中断，甚至整个服务器的控制权被夺取。由于该漏洞需要身份验证，但贡献者权限通常被授予，因此攻击面相对较广。

WordPress websites using Elementor Addons by Livemesh, particularly those with multiple contributors or users with elevated privileges, are at significant risk. Shared hosting environments where multiple websites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others. Legacy WordPress installations with outdated security practices are especially vulnerable.

• wordpress / composer / npm:

grep -r 'style=".*/wp-content/uploads/' /var/www/html/wp-content/plugins/elementor-addons-by-livemesh/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep elementor-addons-by-livemesh

• wordpress / composer / npm:

curl -I http://your-wordpress-site.com/wp-content/plugins/elementor-addons-by-livemesh/style.php?style=/etc/passwd

1. 2024-07-04Disclosure

   disclosure

1. 已保留2024-03-11
2. 发布日期2024-07-04
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

缓解此漏洞的首要措施是立即将 Elementor Addons by Livemesh 插件升级到最新版本（高于8.3.7）。如果升级会导致网站中断，可以考虑回滚到之前的稳定版本，并实施额外的安全措施。此外，可以配置Web应用防火墙 (WAF) 或反向代理服务器，以阻止对包含恶意代码的文件的访问。还可以审查插件的配置文件，确保没有暴露敏感信息。最后，建议定期扫描WordPress网站，以检测潜在的入侵迹象。