Page Builder by SiteOrigin <= 2.33.5 - 认证 (贡献者+) 本地文件包含 (Authenticated (Contributor+) Local File Inclusion)

该LFI漏洞的潜在影响非常严重。攻击者可以利用此漏洞包含并执行任意PHP代码，从而完全控制受影响的WordPress站点。攻击者可以读取敏感数据，例如数据库凭据、配置文件和用户数据。更严重的是，攻击者可以利用此漏洞执行恶意代码，例如安装后门、修改网站内容或发起分布式拒绝服务（DDoS）攻击。由于攻击者只需要贡献者级别的权限，因此即使权限较低的用户也可能被利用。此漏洞类似于其他LFI漏洞，可能导致服务器被完全控制。

WordPress websites utilizing the Page Builder by SiteOrigin plugin, particularly those with multiple contributors or users with elevated privileges, are at risk. Shared hosting environments where users have limited control over server configuration are also particularly vulnerable, as they may be unable to implement effective mitigation strategies beyond plugin updates.

• wordpress / composer / npm:

wp plugin list | grep 'Page Builder by SiteOrigin'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

grep -r 'locate_template(' /var/www/wordpress/wp-content/plugins/page-builder-siteorigin/*

• generic web: Check WordPress plugin directory for updated version and security advisories.

1. 2026-03-03Disclosure

   disclosure

1. 已保留2026-02-13
2. 发布日期2026-03-03
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将SiteOrigin Page Builder插件升级到2.34.0版本或更高版本。如果升级会导致网站中断，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以实施一些额外的安全措施来降低风险。例如，可以使用Web应用防火墙（WAF）来阻止对locate_template()函数的恶意请求。还可以配置WordPress服务器，限制PHP代码的执行位置，从而减少攻击者可以利用的入口点。务必在升级后验证修复是否有效，例如通过尝试访问受影响的功能并确认文件包含尝试被阻止。