CVE-2025-32151: BuddyForms до 2.10.2 уязвим к локальному включению файлов

В экосистеме WordPress регулярно появляются уязвимости в сторонних плагинах, и одна из них — CVE-2025-32151 — затрагивает популярное решение для создания форм BuddyForms от компании Themekraft. Уязвимость относится к классу локального включения файлов (Local File Inclusion, LFI) и получила высокую оценку критичности CVSS 7.5.

Подробности

Уязвимость классифицируется как «Improper Control of Filename for Include/Require Statement in PHP Program» (CWE-98) — речь идёт о недостаточной проверке имени файла, передаваемого в конструкции include/require в PHP-коде плагина. Несмотря на то что в описании CVE упоминается формулировка «PHP Remote File Inclusion», фактический характер проблемы — PHP Local File Inclusion: атакующий может заставить приложение подключить локальный файл с сервера, путь к которому он в той или иной мере контролирует. Уязвимы все версии плагина Themekraft BuddyForms начиная с неопределённой (n/a) и заканчивая 2.10.2 включительно. Это означает, что пользователям, у которых установлена любая версия вплоть до 2.10.2, требуется обновление. Эксплуатация LFI может позволить злоумышленнику читать содержимое локальных файлов сервера, включая конфигурационные файлы, что в ряде сценариев приводит к раскрытию конфиденциальных данных, таких как учётные данные базы данных. В зависимости от конфигурации сервера и наличия возможности загрузки файлов, LFI иногда может быть цепочкой для достижения удалённого выполнения кода. Оценка CVSS 7.5 отражает высокий уровень риска, хотя вектор атаки, согласно базовой оценке, предполагает сетевой доступ без необходимости аутентификации.

Что делать

Основная рекомендация — обновить плагин BuddyForms до версии, в которой уязвимость устранена. Если на момент публикации исправленная версия ещё не выпущена, следует рассмотреть временные меры: - Проверить наличие обновления в административной панели WordPress (раздел «Плагины») и установить его незамедлительно. - При отсутствии патча временно деактивировать плагин, если он не критичен для работы сайта. - Ограничить доступ к административной части сайта, использовать WAF с правилами фильтрации попыток эксплуатации LFI. - Регулярно проверять логи веб-сервера на предмет подозрительных запросов с параметрами, содержащими пути к файлам (например, последовательности вида /../../). - Провести аудит сайта на предмет компрометации, если плагин длительное время был доступен извне. Также стоит убедиться, что на сервере настроены корректные права доступа к файлам и отключён вывод ошибок PHP в production-среде — это снижает информативность возможной утечки. Итог: CVE-2025-32151 — серьёзная уязвимость локального включения файлов в WordPress-плагине BuddyForms версий до 2.10.2 включительно. Учитывая высокую оценку CVSS 7.5, владельцам сайтов следует приоритизировать обновление плагина и проверить системы на признаки эксплуатации.

Источник: CVE Project (cvelistV5)