Livemesh Addons for Elementor WordPress 插件在所有版本中（包括 9.0）存在本地文件包含 (Local File Inclusion) 漏洞。这是由于 `lae_get_template_part()` 函数中对模板名称参数的 sanitization 不充分造成的，使用了不完善的 `str_replace()` 方法，可以通过递归目录遍历模式绕过。这使得具有 Contributor 级别或更高权限的经过身份验证的攻击者可以包含和执行任意文件。

该目录遍历漏洞允许具有 Contributor 级别或更高权限的认证攻击者，通过组件的模板参数包含并执行本地文件。攻击者可以利用此漏洞读取敏感文件，例如数据库配置文件、源代码，甚至执行任意代码。如果攻击者能够执行代码，他们可以完全控制受影响的 WordPress 站点，包括修改内容、窃取用户数据、安装恶意软件，甚至利用该站点发起进一步的攻击。这种漏洞的潜在影响非常严重，可能导致数据泄露、服务中断和声誉损害。

1. 已保留2026-01-29
2. 发布日期2026-04-16
3. 修改日期2026-04-22
4. EPSS 更新日期2026-04-23

目前，官方尚未发布修复版本。作为临时缓解措施，建议禁用 Livemesh Addons for Elementor 插件。如果必须使用该插件，请确保对 WordPress 站点的访问权限进行严格控制，仅允许授权用户访问。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止目录遍历攻击。WAF 规则应配置为阻止对包含 ../ 等目录遍历模式的请求。定期审查 WordPress 站点的配置，确保所有文件权限设置正确。

活跃安装数

40K已知

插件评分