WordPress FW Food Menu 插件 <= 6.0.0 - 任意文件删除漏洞

攻击者可以利用此路径遍历漏洞访问服务器文件系统中的任何文件，只要他们能够构造有效的请求。这可能包括读取配置文件、源代码、数据库备份或其他敏感数据。如果攻击者能够访问包含凭据的文件，他们可能能够获得对系统的完全控制权。此外，攻击者还可以利用此漏洞修改文件，从而破坏系统的正常运行。由于 FW Food Menu 通常用于餐饮行业的网站，攻击者可能能够访问客户数据，例如订单信息、支付信息和个人资料，造成严重的隐私泄露风险。

WordPress websites utilizing the FW Food Menu plugin are at risk. This includes sites with legacy configurations, shared hosting environments where file permissions may be less restrictive, and those that haven't implemented robust security monitoring practices. Sites using older, unmaintained versions of WordPress are also at increased risk due to potential compatibility issues with the updated plugin.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/fw-food-menu/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/fw-food-menu/../../../../etc/passwd' # Check for file disclosure

• wordpress / composer / npm:

wp plugin list --status=active | grep 'fw-food-menu'

• wordpress / composer / npm:

wp plugin update fw-food-menu

1. 2025-06-27Disclosure

   disclosure

1. 已保留2025-06-04
2. 发布日期2025-06-27
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级到 FW Food Menu 6.0.1 或更高版本。如果无法立即升级，可以尝试限制对 FW Food Menu 插件目录的访问权限。使用 Web 应用防火墙 (WAF) 可以帮助阻止恶意请求。此外，定期审查服务器上的文件权限，确保只有授权用户才能访问敏感文件。监控服务器日志，查找可疑的路径遍历尝试，例如包含 '../' 或 '\..' 的请求。