WordPress Instant Chat WP 插件 <= 1.0.5 - 本地文件包含 (Local File Inclusion) 漏洞

该路径遍历漏洞允许攻击者利用不当的路径限制，访问服务器上的任意文件。攻击者可以利用此漏洞读取服务器上的配置文件、源代码或其他敏感数据。更严重的情况下，攻击者可能能够执行任意代码，完全控制受影响的 WordPress 网站。由于 WordPress 网站通常包含用户数据、数据库连接信息和其他关键配置，因此该漏洞的潜在影响非常大。攻击者可能利用此漏洞窃取用户数据、篡改网站内容或发起进一步的网络攻击。

WordPress websites utilizing the Instant Chat Floating Button plugin, particularly those running older versions (≤1.0.5), are at risk. Shared hosting environments are especially vulnerable as they often have limited access controls and a higher density of potential targets.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/instant-chat-floating-button/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/instant-chat-floating-button/?file=../../../../etc/passwd' # Check for file disclosure

1. 2024-10-05Disclosure

   disclosure

1. 已保留2024-08-18
2. 发布日期2024-10-05
3. 修改日期2024-10-07
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Istmo Instant Chat Floating Button for WordPress Websites 升级至 1.0.6 或更高版本。如果升级会导致网站中断，可以考虑回滚到之前的稳定版本，并同时实施其他安全措施。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以阻止包含恶意路径字符的请求。建议审查 WordPress 网站的配置，确保文件权限设置正确，并禁用不必要的目录列表功能。