关键信息 CVE编号: CVE-2025-12189 受影响版本: <= 7.10.1321 漏洞类型: Cross-Site Request Forgery (CSRF) to Arbitrary File Upload 影响: Allows any attacker to trick admins into uploading arbitrary files (incl. PHP web shells) leading to Remote Code Execution (RCE) 漏洞详情 受影响代码位置: , line 411 问题代码: function lacks proper file validation and CSRF protection. 攻击步骤: 1. Tricking admin into uploading PHP web shell. 2. Executing arbitrary code via uploaded shell. TL;DR Exploits POC文件: for CSRF-based exploitation. 实际应用进一步示例: 漏洞根本原因分析 根本原因: 函数中 file validation 和 CSRF protection 缺失，使用 使得攻击者能在安全检查前写文件到服务器的 uploads 目录。 漏洞修复 增加适当文件验证和 CSRF 保护。 技术细节 攻击者使用构造好的 HTML/JavaScript 文件通过 CSRF 技术实现远程代码执行（CSRF to RCE）。 示例代码片段中展示了攻击者如何通过修改表单目标和文件类型绕过CSRF 和文件类型检测并将恶意文件上传至服务器。 总结 通过上述截图可看出，此漏洞因插件 缺乏足够的安全检查（如CSRF保护和文件类型验证），导致任何攻击者都可能利用漏洞上传恶意文件，使服务器面临远程攻击风险。攻击者可以通过示范中的方法利用此插件的弱点实现攻击。插件用户需尽快更新或采取相应安全措施以防止被利用。