WordPress Ultimate Classified Listings 插件 <= 1.4 - 存在本地文件包含 (Local File Inclusion) 漏洞

攻击者可以利用此路径遍历漏洞访问服务器上的任意文件。这可能包括配置文件、数据库凭据、源代码和其他敏感数据。攻击者可以利用这些信息进一步破坏系统，例如执行恶意代码或窃取用户数据。如果服务器上存储了用户上传的文件，攻击者可能还可以通过此漏洞访问这些文件。此漏洞的潜在影响范围取决于服务器上存储的数据类型和敏感程度，以及服务器的配置方式。

WordPress websites utilizing the Ultimate Classified Listings plugin, particularly those running versions 1.4 or earlier, are at risk. Shared hosting environments where users have limited control over plugin installations are also particularly vulnerable, as are sites with outdated or unmanaged WordPress installations.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/ultimate-classified-listings/

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/ultimate-classified-listings/../../../../etc/passwd' # Check for file disclosure

1. 2024-11-20Disclosure

   disclosure

1. 已保留2024-11-11
2. 发布日期2024-11-20
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Ultimate Classified Listings 升级至 1.4.1 版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来阻止对可能利用此漏洞的文件的访问。此外，可以限制服务器上的文件访问权限，以减少攻击者可能访问的数据量。监控服务器上的文件访问日志，可以帮助检测潜在的攻击尝试。如果怀疑系统已被入侵，请立即进行调查并采取必要的补救措施。

活跃安装数

20

插件评分

5.0

需要WordPress版本

3.5+

兼容至

6.9.4