平台
wordpress
组件
dyapress
修复版本
18.0.3
CVE-2025-30582 描述了 DyaPress ERP/CRM 系统中的路径遍历漏洞，允许攻击者通过本地文件包含 (LFI) 读取敏感文件。该漏洞影响 DyaPress ERP/CRM 的 0.0.0 至 18.0.2.0 版本。已发布补丁版本 18.0.3，建议立即升级。
攻击者可以利用此路径遍历漏洞，通过构造恶意请求，访问服务器上的任意文件。这可能导致敏感信息泄露，例如配置文件、数据库凭据、源代码等。攻击者甚至可能利用 LFI 执行任意代码，从而完全控制受影响的系统。由于该漏洞允许本地文件包含，因此攻击者需要先获得对系统的某种访问权限，例如通过 Web 界面或已知的漏洞。
该漏洞已公开披露，存在公开的利用方法。目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，建议尽快采取缓解措施。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的风险。
Organizations using DyaPress ERP/CRM, particularly those with older versions (0.0.0–18.0.2.0) and those with limited security controls, are at significant risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromise of one DyaPress ERP/CRM instance could potentially affect other tenants.
• wordpress / composer / npm:
grep -r "../" /var/www/dyapress/• generic web:
curl -I http://your-dyapress-server.com/../../../../etc/passwd• wordpress / composer / npm:
wp plugin list --all | grep dyapressdisclosure
漏洞利用状态
EPSS
0.26% (49% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 DyaPress ERP/CRM 升级至 18.0.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 Web 服务器的访问权限，只允许访问必要的目录；实施严格的文件访问控制，确保用户只能访问其授权的文件；使用 Web 应用防火墙 (WAF) 过滤恶意请求，阻止路径遍历攻击；监控系统日志，检测可疑活动。升级后，请验证文件访问控制是否已正确配置，并确认漏洞已成功修复。
Actualice el plugin DyaPress ERP/CRM a la última versión disponible para solucionar la vulnerabilidad de inclusión de archivos locales. Verifique la página del plugin en WordPress.org para obtener la versión más reciente y las instrucciones de actualización. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar cualquier plugin.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-30582 是 DyaPress ERP/CRM 系统中发现的路径遍历漏洞，允许攻击者通过本地文件包含读取敏感文件。
如果您的 DyaPress ERP/CRM 版本在 0.0.0 至 18.0.2.0 之间，则您可能受到此漏洞的影响。
立即将 DyaPress ERP/CRM 升级至 18.0.3 或更高版本。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，建议尽快采取缓解措施。
请访问 DyaPress 官方网站或安全公告页面，查找有关 CVE-2025-30582 的详细信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。