Yoco Payments <= 3.9.0 - 未认证任意文件读取 (Unauthenticated Arbitrary File Read)

攻击者可以利用此漏洞访问服务器上的任何文件，包括包含数据库凭据、API 密钥、配置文件或其他敏感信息的配置文件。成功利用此漏洞可能导致数据泄露、系统入侵，甚至完全控制受影响的 WordPress 网站。攻击者可以利用此漏洞获取网站的源代码，从而发现其他潜在漏洞。由于 WordPress 插件的广泛使用，此漏洞可能影响大量网站，造成广泛的安全风险。

Websites using the Yoco Payments plugin, particularly those running older versions (0.0.0 - 3.9.0), are at risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit this vulnerability to gain access to files on other websites hosted on the same server.

• wordpress / composer / npm:

grep -r 'file=([^&]+)' /var/www/html/wp-content/plugins/yoco-payments/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/yoco-payments/../../../../etc/passwd'

1. 2026-01-07Disclosure

   disclosure

1. 已保留2025-11-30
2. 发布日期2026-01-07
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Yoco Payments WordPress 插件升级至 3.9.1 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来阻止对文件参数的恶意请求。此外，应审查 WordPress 网站的权限设置，确保文件和目录的访问权限受到限制。 监控 WordPress 网站的访问日志，查找任何可疑的文件访问尝试。 实施严格的文件上传策略，以防止攻击者上传恶意文件。