下载计数器按钮 <= 1.8.6.7 - 未经身份验证的任意文件下载

攻击者可以利用此漏洞访问服务器上的任何文件，只要他们能够构造一个有效的请求。这可能包括配置文件、数据库备份、源代码或其他敏感数据。攻击者可以下载这些文件并将其泄露给未经授权的第三方，或者在服务器上执行恶意代码。由于该漏洞无需身份验证，攻击者可以轻松地利用它，从而导致广泛的影响。如果服务器上存储了用户数据，则此漏洞可能导致严重的数据泄露事件。

Websites using the MelAbu WP Download Counter Button plugin, particularly those with sensitive data stored on the server or with permissive file system permissions, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable.

• wordpress / composer / npm:

grep -r "wp_enqueue_style('melabu-counter-button',\s*plugin_dir_url(__FILE__)"

• wordpress / composer / npm:

wp plugin list | grep melabu

• wordpress / composer / npm:

wp plugin status | grep melabu

• generic web: Check for unusual file downloads via the plugin's download button. Monitor access logs for requests to files outside the expected download directory.

1. 2025-11-05Disclosure

   disclosure

1. 已保留2025-09-26
2. 发布日期2025-11-05
3. 修改日期2026-04-02
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级到修复后的 MelAbu WP Download Counter Button 插件版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 WordPress 插件的上传目录权限，以防止攻击者上传恶意文件。实施 Web 应用防火墙 (WAF) 规则，以阻止对可能利用此漏洞的文件的请求。监控 WordPress 插件的日志文件，以检测可疑活动。在升级插件之前，务必备份 WordPress 网站，以防升级过程中出现问题。升级后，确认漏洞已修复，可以通过尝试访问受影响的文件来验证。