CVE-2025-48267 描述了 WP Pipes WordPress 插件中的路径遍历漏洞。该漏洞允许未经授权的用户访问服务器上的敏感文件，可能导致信息泄露或进一步的攻击。该漏洞影响 WP Pipes 插件的 n/a 到 1.4.2 版本，已于 2025 年 6 月 9 日公开。建议用户立即升级到 1.4.3 版本以修复此漏洞。
攻击者可以利用此路径遍历漏洞，通过构造恶意的 URL 请求，访问服务器文件系统中的任意文件。这可能包括读取配置文件、数据库凭证、源代码或其他敏感信息。成功利用此漏洞可能导致严重的后果，例如数据泄露、系统入侵和恶意代码执行。攻击者可以利用获取到的敏感信息进行进一步的攻击，例如横向移动到其他系统或窃取用户数据。由于 WordPress 插件的广泛使用，该漏洞的潜在影响范围非常广泛。
目前，该漏洞已公开披露，且存在公开的利用代码。虽然尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，预计未来可能会出现更多利用尝试。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的风险。建议密切关注安全社区的动态，并及时采取必要的缓解措施。
WordPress websites using the WP Pipes plugin are at risk. Specifically, sites running older versions of WP Pipes (prior to 1.4.3) are vulnerable. Shared hosting environments where users have limited control over plugin updates are particularly susceptible.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wp-pipes/• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/wp-pipes/../../../../etc/passwd' # Check for file disclosuredisclosure
漏洞利用状态
EPSS
0.10% (26% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 WP Pipes 插件升级到 1.4.3 版本或更高版本。如果升级会导致网站出现问题，可以考虑回滚到之前的稳定版本，并临时禁用 WP Pipes 插件。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以阻止包含路径遍历攻击模式的请求。例如，可以设置规则来过滤包含 '../' 或 '\..' 的 URL。建议定期审查 WordPress 插件的权限设置，并确保只安装来自可信来源的插件。
Actualice el plugin WP Pipes a la última versión disponible para solucionar la vulnerabilidad de recorrido de directorio. Verifique las actualizaciones disponibles en el panel de administración de WordPress o en el repositorio de plugins de WordPress. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar cualquier plugin.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-48267 是一个路径遍历漏洞，影响 WP Pipes WordPress 插件的 n/a 到 1.4.2 版本。攻击者可以利用此漏洞访问服务器上的敏感文件。
如果您正在使用 WP Pipes 插件的 n/a 到 1.4.2 版本，则您可能受到此漏洞的影响。请立即升级到 1.4.3 版本。
最简单的修复方法是升级到 WP Pipes 插件的 1.4.3 版本或更高版本。
虽然尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，预计未来可能会出现更多利用尝试。
请访问 WP Pipes 插件的官方网站或 WordPress 插件目录，查找关于 CVE-2025-48267 的公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。