CVE-2025-2056 描述了 WordPress 插件 WP Ghost (Hide My WP Ghost) – Security & Firewall 中存在的路径遍历漏洞。此漏洞允许未经身份验证的攻击者通过 showFile 函数读取服务器上的特定文件，从而可能泄露敏感数据。该漏洞影响所有版本，包括 5.4.01 及更早版本。已发布补丁版本 5.4.02。
攻击者可以利用此路径遍历漏洞访问服务器文件系统中的敏感信息。通过构造恶意请求，攻击者可以绕过安全机制，读取诸如配置文件、数据库凭证、源代码或其他包含敏感数据的任何文件。成功利用此漏洞可能导致信息泄露、权限提升，甚至可能导致服务器被完全控制。由于该漏洞无需身份验证，攻击者可以匿名执行攻击，增加了潜在的风险。此漏洞的潜在影响类似于其他路径遍历漏洞，可能导致严重的业务中断和数据泄露。
该漏洞已公开披露，并已添加到 NVD 数据库中。目前没有已知的公开利用程序，但由于漏洞的严重性和易于利用性，预计可能会出现。CISA 尚未将其添加到 KEV 目录中。建议密切关注漏洞利用情况，并采取必要的缓解措施。
WordPress websites using the WP Ghost (Hide My WP Ghost) – Security & Firewall plugin, particularly those running versions 0.0.0 through 5.4.01, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r "showFile function" /var/www/html/wp-content/plugins/wp-ghost/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/wp-ghost/showFile?file=../../../../etc/passwd' # Attempt to access sensitive filedisclosure
漏洞利用状态
EPSS
1.29% (80% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 WP Ghost 插件升级到 5.4.02 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制对 showFile 函数的访问，例如通过 Web 应用防火墙 (WAF) 规则阻止可疑请求。此外，审查服务器文件权限，确保敏感文件受到适当的保护。监控服务器日志，查找任何异常的文件访问尝试。如果升级导致问题，请尝试回滚到之前的稳定版本，并联系插件开发者寻求支持。
Actualice el plugin WP Ghost (Hide My WP Ghost) – Security & Firewall a la versión 5.4.02 o superior para mitigar la vulnerabilidad de Path Traversal. Esta actualización corrige el problema permitiendo que el acceso a archivos esté restringido y evitando la lectura no autorizada de archivos sensibles.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-2056 是指 WP Ghost WordPress 插件中存在的路径遍历漏洞，允许攻击者读取服务器上的敏感文件。
如果您正在使用 WP Ghost 插件的版本低于 5.4.02，则您可能受到此漏洞的影响。
升级 WP Ghost 插件到 5.4.02 或更高版本以修复此漏洞。
目前没有已知的公开利用程序，但由于漏洞的严重性，预计可能会出现。
请访问 WP Ghost 插件的官方网站或 WordPress 插件目录，查找有关此漏洞的官方公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。