关键漏洞信息 漏洞概述 CVE ID: CVE-2025-12673 漏洞类型: 未经身份验证的任意文件上传 受影响版本: Flex QR Code Generator 插件 <= 1.2.6 漏洞描述 Flex QR Code Generator 插件在 AJAX 端点中不验证用户权限或对上传文件进行清理，导致未授权的攻击者可以上传任意文件，包括可执行的 PHP 脚本，从而实现远程代码执行。 漏洞细节 漏洞位置: 方法， 类 未授权访问: 插件为未授权用户注册了 AJAX 端点，允许任何访问者上传任意文件，并存储在 WordPress 上传目录中。 漏洞代码片段 文件上传代码: 文件执行代码: 未授权访问代码: 手动重现步骤 1. 确定已安装 Flex QR Code Generator 插件的目标网站。 2. 找到现有的 QR 代码 ID。 3. 上传恶意的 PHP 文件。 4. 验证上传。 5. 通过访问上传的文件执行命令。 漏洞利用示例