CVE-2025-64374CVE-2025-64374是StylemixThemes Motors WordPress主题中的一个严重安全漏洞，CVSS评分高达9.9。该漏洞为危险类型文件的无限制上传漏洞，影响Motors主题从某个未指定版本到5.6.81的所有版本。攻击者可以利用此漏洞上传恶意文件到服务器，从而实现远程代码执行。Motors是一款流行的WordPress汽车经销商和车辆销售主题，被广泛应用于汽车销售网站。攻击者通过构造特定的恶意文件上传请求，可以绕过系统的文件类型检查，上传PHP等可执行脚本文件。一旦恶意文件被成功上传并被Web服务器解析执行，攻击者即可获得服务器的完全控制权，包括数据窃取、挂马、植入后门等恶意操作。由于该漏洞无需高权限即可利用（低权限认证），且无需用户交互，因此危害极大，建议所有使用该主题的用户立即升级到最新版本或采取临时防护措施。
该漏洞源于Motors主题在处理文件上传时缺少适当的验证和过滤机制。攻击者可以利用WordPress的媒体上传功能或主题特定的上传端点，构造包含恶意代码的文件进行上传。系统未能正确检查上传文件的MIME类型、扩展名和内容，仅依赖客户端的简单检查或完全不检查。攻击者通常将恶意PHP代码伪装成图片或其他合法文件类型上传，成功后会获得一个可访问的URL路径。访问该路径将触发PHP代码执行，从而在服务器上执行任意命令。漏洞的利用需要低权限账号（如订阅者或贡献者角色），这大大降低了攻击门槛。修复版本为5.6.82，建议用户立即升级。