一、 漏洞 CVE-2025-12002 基础信息
漏洞信息
# YouTube Pro <= 2.6.0 路径遍历漏洞
## 概述
Feeds for YouTube Pro 插件中的 `sby_check_wp_submit` AJAX 动作存在任意文件读取漏洞，影响 WordPress 平台。
## 影响版本
所有 <= 2.6.0 版本的 Feeds for YouTube Pro 插件。
## 细节
漏洞源于对用户输入数据的过滤不足，并将未充分处理的数据用于文件操作。未经身份验证的攻击者可利用该漏洞读取服务器上的任意文件。
利用条件：
- 启用 “Save Featured Images” 设置
- 禁用 “Disable WP Posts” 设置
## 影响
攻击者可读取服务器上的任意文件，可能获取包含敏感信息的文件内容（如配置文件、凭证等）。仅 Pro 版受影响。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Feeds for YouTube Pro <= 2.6.0 - Unauthenticated Arbitrary File Read via Path Traversal
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The Feeds for YouTube Pro plugin for WordPress is vulnerable to arbitrary file read in all versions up to, and including, 2.6.0 via the 'sby_check_wp_submit' AJAX action. This is due to insufficient sanitization of user-supplied data and the use of that data in a file operation. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information, granted the 'Save Featured Images' setting is enabled and 'Disable WP Posts' is disabled. Note: This vulnerability only affects the Pro version of Feeds for YouTube.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-12002 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-12002 的情报信息
- https://plugins.trac.wordpress.org/browser/feeds-for-youtube/trunk/inc/Services/AdminAjaxService.php#L339
标题： The #1 Custom YouTube Feed Plugin for WordPress - Smash Balloon -- 🔗来源链接
标签：
神龙速读：从这个网页截图中获取到的关于插件功能和优势的关键信息可以总结如下： - **自动化**：能够自动将YouTube频道的内容显示到网站上，无需手动更新。 - **省时**：通过对视频进行一次性发布，即可在YouTube和网站上同步显示，提高了效率。 - **增强粉丝关注**：通过直接在网站上展示YouTube内容，可以增加与订阅者的互动，从而吸引更多的频道订阅者。 - **动态SEO内容**：新视频内容会自动推送到网站，保持内容的新鲜度，有助于提高搜索引擎优化（SEO）效果。 - **超级易用性**：安装后，一分钟内即可在网站上显示YouTube内容，无需复杂的设置操作。 - **完全可定制性**：提供了大量的定制选项，用户可以根据自己的喜好调整视频的显示方式和外观。 - **无需技术知识**：插件开箱即用，自动适应网站的风格，需要极少的工作量即可呈现高质量的效果。 - **内容策展**：选择自动将特定的YouTube视频推送到网站，让内容策展变得轻松，符合观众的口味。 - **流配置**：可以自动显示来自频道的即将进行和当前播放的实况流。 - **智能加载**：视频播放器在页面上与用户开始与内容互动时才会加载，提高了页面加载速度和用户体验。 - **多种语言支持**：完全本地化和可翻译，支持多种语言环境下的文本显示。 - **始终更新**：与WordPress和YouTube的最新变化保持同步，确保插件的稳定性和兼容性。 - **开发者友好的模板和钩子**：提供内置模板系统和钩子，允许开发者对YouTube订阅进行定制和编程功能修改。 - **Gutenberg区块**：与Gutenberg区块兼容，确保在使用Gutenberg编辑器时具有响应式布局。 该插件的特点包括紧密的SEO集成、无需额外开发工作即可使用、强调用户反馈和持续更新来保持与技术变化的相关性。
- https://plugins.trac.wordpress.org/browser/feeds-for-youtube/trunk/inc/sby-functions.php#L1047
- https://plugins.trac.wordpress.org/browser/feeds-for-youtube/trunk/inc/sby-functions.php#L1038
标题： ERROR: The request could not be satisfied -- 🔗来源链接
标签：
神龙速读：### 关键信息 - **Error Code**: 403 ERROR - **Error Message**: The request could not be satisfied. - **Error Details**: - Request blocked by CloudFront. - Possible reasons: Too much traffic or a configuration error. - Suggestions: Try again later or contact the app or website owner. - Review CloudFront documentation if providing content through CloudFront. - **Generated by**: cloudfront (CloudFront) - **Request ID**: 7GuZXY35lUR-xGBWpAW2wYZbkw8HYQB72i8dP9_aTwjNJ5IJv6VPvg==
- https://plugins.trac.wordpress.org/browser/feeds-for-youtube/trunk/inc/Services/AdminAjaxService.php#L383
- https://plugins.trac.wordpress.org/browser/feeds-for-youtube/trunk/inc/Services/AdminAjaxService.php#L25
- https://nvd.nist.gov/vuln/detail/CVE-2025-12002
四、漏洞 CVE-2025-12002 的评论
暂无评论