Import WP – Export and Import CSV and XML files to WordPress <= 2.14.16 - Authenticated (Admin+) Arbitrary File Read 漏洞信息(CVE-2025-12137)

一、漏洞 CVE-2025-12137 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        # Import WP 插件 文件读取漏洞

## 概述

插件 **Import WP – Export and Import CSV and XML files to WordPress** 在所有版本至 **2.14.16（含）** 存在**任意文件读取漏洞**。

## 影响版本

- 插件版本：≤ 2.14.16

## 漏洞细节

- 漏洞发生在插件的 REST API 接口。
- 在处理 `'file_local'` 动作时，`attach_file()` 函数未对传入的文件路径进行充分验证。
- 攻击者可通过 `'local_url'` 参数提交任意本地文件路径。

## 漏洞影响

- **已认证的攻击者**（具有管理员及以上权限）可利用该漏洞读取服务器上的任意文件。
- 可被读取的文件包括但不限于敏感配置文件和系统文件，可能导致信息泄露或其他后续攻击。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Import WP – Export and Import CSV and XML files to WordPress <= 2.14.16 - Authenticated (Admin+) Arbitrary File Read

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Import WP – Export and Import CSV and XML files to WordPress plugin for WordPress is vulnerable to Arbitrary File Read in all versions up to, and including, 2.14.16. This is due to the plugin's REST API endpoint accepting arbitrary absolute file paths without proper validation in the 'attach_file()' function when handling 'file_local' actions. This makes it possible for authenticated attackers, with administrator-level access and above, to read arbitrary files on the server's filesystem, including sensitive configuration files and system files via the 'local_url' parameter.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

文件名或路径的外部可控制

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-12137 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-12137 的情报信息

标题： Import WP – Export and Import CSV and XML files to WordPress <= 2.14.16 - Authenticated (Admin+) Arbitrary File Read -- 🔗来源链接

标签：
神龙速读
标题： RestManager.php in jc-importer/trunk/class/Common/Rest – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： ImporterManager.php in jc-importer/trunk/class/Common/Importer – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Filesystem.php in jc-importer/trunk/class/Common/Filesystem – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Filesystem.php in jc-importer/trunk/class/Common/Filesystem – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Path Traversal | OWASP Foundation -- 🔗来源链接

标签：
标题： CWE - CWE-36: Absolute Path Traversal (4.18) -- 🔗来源链接

标签：
神龙速读
标题： Fix CVE-2025-12137 vulnerability reported by Wordfence, local file im… · importwp/importwp@94cc524 · GitHub -- 🔗来源链接

标签：
标题： Changeset 3387749 for jc-importer – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-12137