文件管理器 Pro – Filester <= 1.8.5 - 认证 (管理员+) 本地 JavaScript 文件包含漏洞

该漏洞允许攻击者通过包含任意文件来执行恶意代码。攻击者可以利用此漏洞读取服务器上的敏感文件，例如配置文件、数据库凭证或源代码。更严重的是，攻击者可以上传恶意脚本，并通过文件包含将其执行，从而完全控制受影响的WordPress站点。攻击者可以利用此漏洞进行横向移动，访问其他服务器或服务，并窃取敏感数据。由于该漏洞需要管理员权限，因此攻击者必须首先获得对WordPress站点的访问权限。

WordPress websites utilizing the Filester plugin, particularly those with administrator accounts that have not been secured with strong passwords and multi-factor authentication, are at risk. Shared hosting environments where plugin updates are not managed centrally are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'fm_locale' /var/www/html/wp-content/plugins/filester/

• wordpress / composer / npm:

wp plugin list --status=all | grep filester

• wordpress / composer / npm:

wp plugin update filester --all

1. 2024-11-27Disclosure

   disclosure

1. 已保留2024-10-08
2. 发布日期2024-11-27
3. 修改日期2026-01-23
4. EPSS 更新日期2026-04-02

立即升级到File Manager Pro – Filester 1.8.6或更高版本以修复此漏洞。如果无法立即升级，可以尝试限制对'fm_locale'参数的访问，并验证其输入。实施Web应用防火墙（WAF）规则，以阻止包含恶意代码的文件包含尝试。定期扫描WordPress插件是否存在已知漏洞，并及时更新。