高级文件管理器 <= 5.2.8 - 经过身份验证 (管理员+) 通过 fma_locale 实现本地 JavaScript 文件包含

该漏洞的影响非常严重，攻击者可以利用它来执行任意PHP代码。这意味着攻击者可以完全控制受影响的WordPress网站，包括修改文件、安装恶意软件、窃取敏感数据，甚至完全接管服务器。攻击者可以通过上传图像或其他“安全”文件类型，然后利用该漏洞包含这些文件来执行代码。如果攻击者能够获得服务器的访问权限，他们可以进一步进行横向移动，攻击其他系统。由于该漏洞需要管理员权限，因此攻击者通常需要先获得网站的凭据，例如通过暴力破解、钓鱼攻击或利用其他漏洞。

WordPress websites utilizing the Advanced File Manager plugin, particularly those with administrator accounts that have not been secured with strong passwords or multi-factor authentication, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'fma_locale' /var/www/html/wp-content/plugins/advanced-file-manager/

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/advanced-file-manager/?fma_locale=../../../../../../etc/passwd' # Check for file disclosure

1. 2024-09-26Disclosure

   disclosure

1. 已保留2024-09-11
2. 发布日期2024-09-26
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到Advanced File Manager插件的修复版本。如果无法立即升级，可以考虑以下缓解措施：限制上传的文件类型，以防止攻击者上传可执行文件；禁用Advanced File Manager插件的fma_locale参数；使用Web应用程序防火墙（WAF）来阻止恶意请求；监控WordPress网站的日志文件，以检测可疑活动。升级后，请确认漏洞已修复，可以通过尝试包含一个不存在的文件来验证。