Newsletters <= 4.9.9.9 - 认证 (管理员+) 本地文件包含 (Authenticated (Administrator+) Local File Inclusion)

攻击者可以利用此 LFI 漏洞读取服务器上的任意文件，包括包含敏感信息的配置文件、数据库凭据或源代码。更严重的是，如果攻击者能够上传图像或其他“安全”文件类型，并将其包含在执行中，他们就可以执行任意 PHP 代码。这可能导致完全控制受影响的 WordPress 站点，包括数据泄露、恶意软件安装和网站篡改。该漏洞的潜在影响范围广泛，可能对企业和个人用户造成重大损失。类似于其他 LFI 漏洞，攻击者可能利用此漏洞进行横向移动，访问其他服务器资源。

WordPress websites utilizing the Newsletters plugin, particularly those with administrator accounts that have weak passwords or are susceptible to credential stuffing attacks, are at significant risk. Shared hosting environments where multiple WordPress installations share the same server resources are also vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / plugin:

grep -r "file=../" /var/www/wordpress/wp-content/plugins/newsletters/*

• wordpress / plugin:

wp plugin list | grep newsletters

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/newsletters/?file=../../../../etc/passwd

• generic web: Check WordPress access logs for requests containing suspicious file paths in the file parameter, such as ../ or absolute paths.

1. 2025-05-31Disclosure

   disclosure

1. 已保留2025-05-16
2. 发布日期2025-05-31
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Newsletters 插件升级到修复版本。如果无法立即升级，可以考虑以下临时缓解措施：限制上传的文件类型，以防止攻击者上传恶意 PHP 文件；严格控制 WordPress 站点的访问权限，只允许授权用户访问；实施 Web 应用防火墙 (WAF)，以检测和阻止恶意请求；监控 WordPress 站点的日志文件，以查找可疑活动。在升级后，请验证漏洞是否已成功修复，例如通过尝试访问受影响的参数，并确认无法包含任意文件。