WordPress BM Content Builder 插件 < 3.16.3.3 - 任意文件删除漏洞
平台
wordpress
组件
bm-builder
修复版本
3.16.4
CVE-2025-59002 描述了 SeaTheme BM Content Builder 中的路径遍历漏洞。该漏洞允许攻击者通过构造恶意请求访问服务器上的任意文件，可能导致敏感信息泄露或系统被篡改。该漏洞影响 BM Content Builder 的 0.0.0 到 3.16.3.3 版本。已发布补丁版本 3.16.3.3。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此路径遍历漏洞访问服务器文件系统中的敏感数据，例如配置文件、源代码或用户数据。攻击者可能通过构造包含“../”等路径遍历序列的恶意请求来利用此漏洞。成功利用此漏洞可能导致信息泄露、代码执行或系统被破坏。该漏洞的潜在影响范围取决于服务器上存储的数据类型以及攻击者对服务器的访问权限。如果服务器运行其他关键服务，攻击者可能利用此漏洞进行横向移动，进一步扩大攻击范围。
利用背景
目前尚未公开发现针对此漏洞的利用代码，但由于路径遍历漏洞的普遍性，存在被利用的风险。该漏洞已于 2025 年 9 月 26 日公开披露。建议密切关注安全社区的动态，及时了解最新的漏洞信息。
哪些人处于风险中翻译中…
WordPress sites utilizing the BM Content Builder plugin, particularly those running older versions (0.0.0–3.16.3.3), are at risk. Shared hosting environments where users have limited control over plugin updates are also particularly vulnerable. Sites with sensitive data stored in configuration files or accessible through the WordPress file system are at higher risk.
检测步骤翻译中…
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/bm-builder/• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/bm-builder/../../../../etc/passwd' # Check for file access攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.06% (18% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 已改变 — 攻击可以超出脆弱组件，影响其他系统。
- Confidentiality
- 无 — 无机密性影响。
- Integrity
- 无 — 无完整性影响。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 BM Content Builder 升级至 3.16.3.3 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤包含路径遍历序列的请求。此外，应限制 BM Content Builder 访问的文件系统权限，以减少漏洞的影响范围。监控服务器日志，查找可疑的路径遍历尝试，并及时采取措施。
修复方法翻译中…
Actualice el plugin BM Content Builder a la versión 3.16.3.4 o superior para mitigar la vulnerabilidad de recorrido de ruta. Verifique las fuentes oficiales del plugin o el repositorio de WordPress para obtener la última versión. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar cualquier plugin.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2025-59002 — 路径遍历漏洞在 BM Content Builder 中？
CVE-2025-59002 是 SeaTheme BM Content Builder 插件中发现的路径遍历漏洞，允许攻击者访问服务器上的任意文件。
我是否受到 CVE-2025-59002 在 BM Content Builder 中影响？
如果您正在使用 BM Content Builder 的 0.0.0 到 3.16.3.3 版本，则可能受到此漏洞的影响。
我如何修复 CVE-2025-59002 在 BM Content Builder 中？
立即将 BM Content Builder 升级至 3.16.3.3 或更高版本。
CVE-2025-59002 是否正在被积极利用？
目前尚未公开发现针对此漏洞的利用代码，但存在被利用的风险。
在哪里可以找到 SeaTheme 官方关于 CVE-2025-59002 的公告？
请访问 SeaTheme 官方网站或 WordPress 插件目录，查找关于 CVE-2025-59002 的安全公告。