📋 漏洞概述

WordPress Peugeot Music插件1.0存在未授权任意文件上传漏洞，允许攻击者上传恶意脚本实现远程代码执行。

📋 基础信息

🔬 漏洞根因

插件upload.php端点未对请求进行身份验证和权限检查，且未对上传文件的扩展名进行充分过滤。攻击者可通过POST请求中的'name'参数指定任意扩展名（如.php），导致服务器直接存储并允许访问恶意文件。推测代码中仅依赖客户端提供的文件名而无服务端类型校验或重命名机制。

🎯 攻击场景

1. 攻击者识别目标站点安装了Peugeot Music插件1.0版本。 2. 构造包含恶意PHP代码的文件（如webshell），并使用POST请求发送至/wp-content/plugins/peugeot-music/upload.php，同时通过'name'参数将文件名设为shell.php。 3. 服务器接收文件并保存至uploads目录，未进行扩展名过滤或内容检测。 4. 攻击者通过浏览器访问上传文件路径（如/wp-content/uploads/shell.php），触发恶意代码执行。 5. 成功获得Web Shell，可进一步执行系统命令、窃取数据或内网横向移动。

💥 漏洞影响

未认证攻击者可上传任意文件（包括PHP webshell），在目标服务器上实现远程代码执行（RCE），导致完全控制网站、数据库泄露、服务器被用作僵尸节点等严重安全事件。影响范围覆盖所有使用该插件的WordPress站点。

🛡️ 修复建议

建议立即停用并删除Peugeot Music插件1.0版本；如必须使用，应等待官方发布安全更新。临时缓解措施包括：1) 通过Web服务器配置文件（如.htaccess或Nginx规则）限制uploads目录的脚本执行权限；2) 在upload.php入口添加身份验证和文件类型白名单校验；3) 使用Web应用防火墙（WAF）拦截可疑文件上传请求。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2018-25335
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-25335
• 原始来源（NVD-Latest）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-05-18 08:06 | 来源: NVD-Latest