CVE-2025-2932 是一个在JKDEVKIT WordPress插件中发现的任意文件删除漏洞。攻击者可以利用此漏洞删除服务器上的任意文件，从而可能导致远程代码执行。该漏洞影响JKDEVKIT插件的1.0.0到1.9.4版本。建议用户尽快升级到修复版本或采取缓解措施。
该漏洞允许经过身份验证的攻击者（具有订阅者级别或更高的权限）删除服务器上的任意文件。如果攻击者能够删除关键文件，例如wp-config.php，则可能导致远程代码执行。如果启用了WooCommerce，攻击者需要贡献者级别或更高的权限。攻击者可以利用此漏洞获取服务器的控制权，窃取敏感数据，或进行其他恶意活动。此漏洞的潜在影响非常严重，可能导致严重的业务中断和数据泄露。
该漏洞已公开披露，且存在潜在的利用风险。目前尚无已知的公开利用程序，但由于漏洞的严重性和易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到CISA KEV目录。
WordPress sites utilizing the JKDEVKIT plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are also at increased risk, as are sites that haven't implemented robust file upload validation.
• wordpress / composer / npm:
grep -r 'font_upload_handler' /var/www/html/wp-content/plugins/jkdevkit/• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/jkdevkit/font_upload_handler• wordpress / composer / npm:
wp plugin list --status=inactive | grep jkdevkitdisclosure
漏洞利用状态
EPSS
1.27% (79% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是升级到修复后的JKDEVKIT插件版本。如果无法立即升级，可以考虑以下缓解措施：限制用户权限，确保只有具有必要权限的用户才能访问插件功能。实施Web应用防火墙（WAF）规则，以检测和阻止恶意文件删除请求。定期审查服务器上的文件，以查找未经授权的更改。监控插件的日志文件，以查找可疑活动。在升级后，请确认漏洞已修复，可以通过尝试删除非关键文件来验证。
Actualice el plugin JKDEVKIT a la última versión disponible para mitigar la vulnerabilidad de eliminación arbitraria de archivos. Verifique que la validación de rutas de archivos sea adecuada para prevenir accesos no autorizados. Considere limitar los permisos de los usuarios a los estrictamente necesarios para reducir el riesgo de explotación.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-2932 是一个在JKDEVKIT WordPress插件中发现的漏洞，允许攻击者删除服务器上的任意文件，可能导致远程代码执行。
如果您正在使用JKDEVKIT插件的1.0.0到1.9.4版本，则可能受到此漏洞的影响。
建议升级到修复后的JKDEVKIT插件版本。
目前尚无已知的公开利用程序，但由于漏洞的严重性和易利用性，建议尽快采取缓解措施。
请访问JKDEVKIT插件的官方网站或WordPress插件目录，查找相关公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。