WooCommerce 插件存在严重漏洞,允许未经身份验证的远程代码执行,超过 10 万个网站受到影响.

热门 WordPress 插件 ShopLentor – WooCommerce Builder for Elementor & Gutenberg +21 Modules – All in One Solution（原名 WooLentor）存在一个严重级别的本地文件包含 (LFI)漏洞，允许未经身份验证的攻击者在受影响的网站上包含并运行任意 .php 文件。该漏洞（CVE-2025-12493，CVSS 9.8）影响所有 3.2.5 及更早版本的插件，并在 3.2.6 版本中已修复。该插件拥有超过 10 万个活跃安装，使大量电子商务网站面临风险。

插件的 load_template 逻辑中存在本地文件包含 (LFI) 漏洞，允许未经身份验证的请求强制 WordPress/PHP 运行时包含攻击者提供的 .php 文件。如果攻击者能够上传或以其他方式将 .php 文件放置在服务器上（例如，通过配置错误的上传、其他插件或可写目录），则易受攻击的包含操作将执行该文件，从而导致远程代码执行和网站完全被攻陷。

如果您使用 ShopLentor 运营 WordPress 网站，请将此视为紧急情况。

• 立即更新— 立即在所有受影响的网站上将 ShopLentor 插件升级到3.2.6版本（如果必须，请先在测试环境中进行测试，但优先考虑正式的电子商务网站）。
• 如果您无法立即更新：
• 请先停用该插件，直到您可以应用 3.2.6 版本为止。
• 或者通过 WAF/服务器规则限制访问，以阻止利用load_template参数的请求。
• 检查日志中是否存在可疑请求和漏洞利用迹象（参见检测部分）。查找包含异常template参数load_template或尝试包含../../路径或路径下的请求wp-content/uploads。

https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/woolentor-addons/shoplentor-325-unauthenticated-local-php-file-inclusion-via-load-template