WordPress Store Locator 插件 <= 3.98.10 - 任意文件包含 (Local File Inclusion) 漏洞

攻击者可以利用此路径遍历漏洞读取服务器上的任意文件，包括配置文件、源代码和其他敏感数据。攻击者可能通过构造恶意的 URL 请求来触发此漏洞，例如通过包含 ../ 序列来访问父目录中的文件。如果服务器上存在包含敏感信息的配置文件，攻击者可能获取数据库凭据、API 密钥或其他敏感信息。此外，攻击者可能利用此漏洞执行任意代码，例如通过包含 PHP 脚本来执行恶意命令。由于该漏洞允许本地文件包含，因此攻击者可能能够访问整个服务器的文件系统，从而造成广泛的损害。

WordPress websites utilizing the moaluko Store Locator plugin, particularly those running older versions (0.0.0–3.98.10), are at significant risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / plugin:

wp plugin list --status=inactive | grep store-locator

• wordpress / plugin:

wp plugin update --all

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/store-locator/../../../../etc/passwd' # Check for file disclosure

• generic web:

 grep -r "../" /var/log/apache2/access.log # Look for path traversal attempts in logs

1. 2025-01-24Disclosure

   disclosure

1. 已保留2025-01-16
2. 发布日期2025-01-24
3. 修改日期2026-04-28
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 moaluko Store Locator 升级至 3.98.11 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 Store Locator 插件的访问权限，例如将其限制在特定的目录中。实施 Web 应用防火墙 (WAF) 规则，以阻止包含 ../ 序列的请求。审查 Store Locator 插件的配置，确保没有暴露任何敏感信息。监控 Store Locator 插件的日志，以检测任何可疑活动。升级后，请确认漏洞已修复，可以通过尝试访问受保护的文件来验证。