Hippoo Mobile App for WooCommerce <= 1.7.1 - 未认证任意文件读取

该路径遍历漏洞允许攻击者绕过正常的访问控制机制，直接访问服务器上的文件系统。攻击者可以利用此漏洞读取包含用户名、密码、API 密钥、数据库连接字符串等敏感信息的配置文件、源代码或其他文件。成功利用该漏洞可能导致数据泄露、权限提升，甚至完全控制服务器。攻击者可能通过构造恶意的 URL 请求来触发该漏洞，无需身份验证即可读取目标文件。

Websites utilizing the Hippoo Mobile App for WooCommerce plugin, particularly those running older versions (0.0.0–1.7.1), are at significant risk. Shared hosting environments are especially vulnerable as they often have limited access controls and a higher concentration of WordPress installations.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/hippoo-mobile-app-for-woocommerce/*

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/hippoo-mobile-app-for-woocommerce/../../../../etc/passwd' # Check for file disclosure

• wordpress / composer / npm:

wp plugin list --status=active | grep 'hippoo-mobile-app-for-woocommerce'

• wordpress / composer / npm:

wp plugin update hippoo-mobile-app-for-woocommerce

1. 2025-12-10Disclosure

   disclosure

1. 已保留2025-11-17
2. 发布日期2025-12-10
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Hippoo Mobile App for WooCommerce 升级至 1.7.2 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 实施规则，阻止包含路径遍历尝试的请求，例如包含 '../' 或 '\..' 的请求。此外，限制 WordPress 插件的权限，并定期审查服务器上的文件访问权限，以减少潜在的攻击面。在升级后，请确认漏洞已修复，例如尝试访问受保护的文件，验证是否仍然可以访问。