WordPress Opal Woo Custom Product Variation 插件 <= 1.2.0 - 任意文件删除漏洞

攻击者可以利用此路径遍历漏洞访问服务器文件系统中的任意文件，而无需身份验证。这可能包括读取配置文件、数据库文件或包含敏感信息的其他文件。攻击者还可以利用此漏洞修改或删除文件，从而导致服务中断或数据丢失。如果服务器运行在共享主机环境中，则此漏洞的潜在影响会更大，因为攻击者可能能够访问其他用户的网站文件。由于该插件通常用于处理产品变体信息，攻击者可能能够访问客户数据或订单信息。

WordPress websites using the Opal Woo Custom Product Variation plugin, particularly those running older versions (0.0 - 1.2.0), are at risk. Shared hosting environments are especially vulnerable, as a compromise of one website can potentially affect others on the same server. Sites with weak file permissions or inadequate WAF protection are also at increased risk.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/opal-woo-custom-product-variation/*

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/opal-woo-custom-product-variation/../../../../etc/passwd' # Check for file disclosure

1. 2025-05-23Disclosure

   disclosure

1. 已保留2025-05-07
2. 发布日期2025-05-23
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Opal Woo Custom Product Variation 插件升级到 1.2.1 版本或更高版本。如果无法立即升级，可以尝试限制插件的访问权限，例如将其限制在特定的目录中。此外，可以配置 Web 应用防火墙 (WAF) 以阻止包含路径遍历攻击模式的请求。监控插件的日志文件，查找任何可疑活动，例如尝试访问不存在的文件或目录。如果怀疑已经受到攻击，请立即更改服务器上的所有密码。