WordPress web-directory-free插件存在本地文件包含导致任意文件读取漏洞(CVE-2024-3673)

免责声明:

本文旨在提供有关特定漏洞的深入信息，帮助用户充分了解潜在的安全风险。发布此信息的目的在于提升网络安全意识和推动技术进步，未经授权访问系统、网络或应用程序，可能会导致法律责任或严重后果。因此，作者不对读者基于本文内容所采取的任何行为承担责任。读者在使用本文信息时，必须严格遵循适用的法律法规及服务协议，自行承担一切风险与责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

0x01 产品介绍:

Web Directory Free 是一款 WordPress 插件，旨在帮助用户在几分钟内创建目录或分类广告网站。该插件结合了 WordPress 的灵活性与目录和分类广告的功能，提供了一个易于使用的在线目录解决方案。

0x02 漏洞描述：

 Web Directory Free WordPress 插件（1.7.3 之前的版本）存在一个严重漏洞。该插件在函数中使用参数之前未能验证该参数include()，这会导致本地文件包含 (LFI)。这允许未经身份验证的攻击者读取服务器上的敏感文件。

0x03 网络空间测绘:

fofa

body="/wp-content/plu