CVE-2025-2539

高已发布

File Away <= 3.9.9.0.1 - 缺失授权导致未认证任意文件读取

初级CVSS

7.5/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

EPSS概率估计

1.7%

低 · 未来 30 天

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

File Away WordPress 插件在 ajax() 函数中缺少权限检查，导致所有版本（包括 3.9.9.0.1）均存在未授权访问数据的漏洞。这使得未认证的攻击者能够利用可逆的弱算法读取服务器上任意文件的内容，其中可能包含敏感信息。

CVE-2025-2539漏洞利用
针对CVE-2025-2539的概念验证利用，目标WordPress File Away插件。利用了缺失的能力检查与弱算法，实现任意服务器文件读取。
CVE-2025-2539---File-Away-WordPress-Plugin-Arbitrary-File-Read漏洞利用
# File Away WordPress 插件（CVE-2025-2539）的已认证任意文件读取漏洞利用包含 PoC、攻击流程、检测特征以及用于安全测试和教育的缓解策略。
CVE-2025-2539PoC
针对 WordPress File Away 插件 ≤ 3.9.9.0.1 的未授权任意文件读取漏洞利用程序
CVE-2025-2539漏洞利用
File Away <= 3.9.9.0.1 - 授权缺失导致未认证任意文件读取
file-away-exploit漏洞利用
针对WordPress File-Away插件（CVE-2025-2512和CVE-2025-2539）的远程代码执行利用脚本
CVE-2025-2539漏洞利用
CVE-2025-2539 - WordPress File Away <= 3.9.9.0.1 - 任意文件读取

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。