LA-Studio Element Kit for Elementor <= 1.3.8.1 - 认证 (贡献者+) 本地文件包含 (Local File Inclusion)

该LFI漏洞允许具有贡献者级别或更高权限的认证攻击者包含并执行服务器上的任意文件。攻击者可以利用此漏洞读取敏感信息，例如数据库凭据、配置文件，甚至执行任意PHP代码。如果攻击者能够上传图片或其他“安全”文件类型并将其包含，则可以完全绕过访问控制，从而实现远程代码执行。这可能导致服务器被完全控制，数据泄露，甚至进一步的攻击活动。该漏洞的潜在影响非常严重，需要立即采取行动。

WordPress websites using the LA-Studio Element Kit for Elementor plugin, particularly those with users having Contributor-level access or higher, are at risk. Shared hosting environments where users have limited control over file uploads and execution are especially vulnerable, as attackers may be able to leverage this vulnerability to compromise other sites on the same server.

• wordpress / composer / npm:

grep -r 'map_style' /var/www/html/wp-content/plugins/la-studio-element-kit-for-elementor/

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/la-studio-element-kit-for-elementor/map_style.php

• wordpress / composer / npm:

wp plugin list --status=all | grep 'la-studio-element-kit-for-elementor'

1. 2024-07-02Disclosure

   disclosure

1. 已保留2024-05-25
2. 发布日期2024-07-02
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

为了缓解CVE-2024-5349漏洞，首要措施是立即升级到最新版本LA-Studio Element Kit for Elementor插件。如果无法立即升级，可以考虑以下临时缓解措施：限制上传文件的类型，确保服务器文件权限设置正确，只允许必要的用户访问敏感文件。此外，可以配置Web应用防火墙（WAF）或反向代理服务器，以阻止对'map_style'参数的恶意请求。监控服务器日志，查找可疑的文件包含活动。

活跃安装数

10K已知

插件评分

5.0

需要WordPress版本

5.2+

兼容至

6.9.0

需要PHP版本

7.2+