WordPress Spice Blocks 插件 <= 2.0.7.4 - 任意文件下载漏洞
平台
wordpress
组件
spice-blocks
修复版本
2.0.8
CVE-2025-48130 描述了 Spice Blocks WordPress 插件中的路径遍历漏洞。该漏洞允许未经授权的用户通过构造恶意请求访问服务器上的任意文件，可能导致敏感信息泄露或系统被篡改。此漏洞影响 Spice Blocks 插件的 0.0.0 至 2.0.7.4 版本，建议用户尽快升级至 2.0.7.5 版本以修复。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此路径遍历漏洞读取服务器上的任何文件，包括配置文件、源代码、数据库备份等。如果服务器上存储了敏感信息，例如 API 密钥、数据库密码或用户数据，攻击者可能会窃取这些信息。此外，攻击者还可能利用此漏洞修改服务器上的文件，从而篡改网站内容或执行恶意代码。由于 Spice Blocks 插件广泛应用于 WordPress 网站，因此该漏洞的潜在影响范围非常广泛。
利用背景
该漏洞已公开披露，且存在公开的利用代码。目前尚未观察到大规模的利用活动，但由于该漏洞的易利用性，预计未来可能会被攻击者利用。CISA 尚未将其添加到 KEV 目录，但由于其高危等级和公开的利用代码，应予以高度关注。
哪些人处于风险中翻译中…
WordPress websites utilizing the Spice Blocks plugin, particularly those running versions 0.0.0 through 2.0.7.4, are at risk. Shared hosting environments where plugin configurations are less controlled are also more vulnerable.
检测步骤翻译中…
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/spice-blocks/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/spice-blocks/../../../../etc/passwd' # Check for file access攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.13% (32% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 无 — 无完整性影响。
- Availability
- 无 — 无可用性影响。
受影响的软件
软件包信息
- 活跃安装数
- 1K小众
- 插件评分
- 0.0
- 需要WordPress版本
- 5.3+
- 兼容至
- 6.9.4
- 需要PHP版本
- 5.2+
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 Spice Blocks WordPress 插件升级至 2.0.7.5 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 阻止包含路径遍历攻击模式的请求。此外，应限制 WordPress 插件的上传目录权限，并定期审查服务器上的文件访问日志，以检测可疑活动。在升级后，请检查插件配置，确保没有不必要的权限或访问控制。
修复方法
更新到版本 2.0.7.5，或更新的补丁版本
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2025-48130 — 路径遍历漏洞在 Spice Blocks 中？
CVE-2025-48130 是一个高危漏洞，影响 Spice Blocks WordPress 插件的 0.0.0–2.0.7.4 版本，攻击者可以通过构造恶意请求访问服务器上的任意文件。
我是否受到 CVE-2025-48130 在 Spice Blocks 中影响？
如果您正在使用 Spice Blocks WordPress 插件的版本低于 2.0.7.5，则您可能受到此漏洞的影响。请立即检查您的插件版本。
我如何修复 CVE-2025-48130 在 Spice Blocks 中？
将 Spice Blocks WordPress 插件升级至 2.0.7.5 或更高版本以修复此漏洞。
CVE-2025-48130 是否正在被积极利用？
虽然目前尚未观察到大规模的利用活动，但由于该漏洞的易利用性，预计未来可能会被攻击者利用。
在哪里可以找到 Spice Blocks 官方关于 CVE-2025-48130 的公告？
请访问 Spice Blocks 官方网站或 GitHub 仓库，查找有关 CVE-2025-48130 的安全公告。