平台
wordpress
组件
wpmastertoolkit
修复版本
1.10.0
2.5.4
WPMasterToolKit (WPMTK) – All in one 插件存在一个任意文件访问漏洞，允许具有管理员级别或更高权限的身份验证攻击者读取和修改服务器上的任意文件。该漏洞影响所有版本，包括 1.0.0 到 1.15.0。 攻击者可以利用此漏洞访问敏感数据，并可能进一步控制服务器。建议立即升级到 2.5.4 版本以修复此问题。
此漏洞的潜在影响非常严重。攻击者可以利用它来访问服务器上的任何文件，包括包含数据库凭据、API 密钥、源代码和其他敏感信息的配置文件。通过读取这些文件，攻击者可以获取对网站和服务器的完全控制权。他们可以修改文件，植入恶意代码，窃取数据，甚至完全控制服务器。由于该漏洞需要管理员权限，但 WordPress 网站通常具有广泛的权限，因此攻击面相对较大。如果攻击者能够成功利用此漏洞，他们可以对网站造成严重损害，包括数据泄露、服务中断和声誉损失。
目前尚未公开发现针对此漏洞的利用代码，但由于漏洞的严重性和易利用性，存在被利用的风险。该漏洞已于 2025 年 4 月 24 日公开披露。建议密切关注安全社区的动态，并及时采取缓解措施。目前未被列入 CISA KEV 目录，EPSS 评分待定。
WordPress websites using the WPMasterToolKit plugin, particularly those with administrator accounts that have not been secured with strong passwords or multi-factor authentication, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wpmastertoolkit/• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/wpmastertoolkit/wp-content/../etc/passwddisclosure
漏洞利用状态
EPSS
1.27% (79% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 WPMasterToolKit 插件升级到 2.5.4 或更高版本。如果升级会导致网站出现问题，请考虑回滚到之前的稳定版本，并联系插件开发人员寻求支持。作为临时措施，可以尝试限制 WordPress 文件系统的权限，以减少攻击者可以访问的文件数量。此外，实施 Web 应用防火墙 (WAF) 可以帮助检测和阻止利用此漏洞的攻击尝试。 监控 WordPress 网站的日志文件，查找任何可疑活动，例如对敏感文件的异常访问尝试。
Actualice el plugin WPMasterToolKit (WPMTK) – All in one plugin a la versión 2.5.4 o superior para mitigar la vulnerabilidad de Directory Traversal. Esta actualización corrige la forma en que el plugin maneja las rutas de archivos, previniendo el acceso no autorizado a archivos sensibles en el servidor. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar el plugin.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-3300 是 WPMasterToolKit 插件中发现的一个任意文件访问漏洞，允许攻击者读取和修改服务器上的文件。
如果您使用的是 WPMasterToolKit 插件的 1.0.0 到 1.15.0 版本，则您可能受到此漏洞的影响。
请立即将 WPMasterToolKit 插件升级到 2.5.4 或更高版本。
目前尚未公开发现利用代码，但存在被利用的风险。
请访问 WPMasterToolKit 插件的官方网站或 WordPress 插件目录，查找相关公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。