CVE-2025-12089 - Data Tables Generator by Supsystic <= 1.10.45 - 认证（管理员+）任意文件删除

概述

漏洞描述

WordPress的Data Tables Generator by Supsystic插件在1.10.45及以下所有版本中，由于cleanCache()函数对文件路径验证不足，存在任意文件删除漏洞。这使得拥有管理员级别及以上权限的认证攻击者能够删除服务器上的任意文件，当删除关键文件（如wp-config.php）时，很容易导致远程代码执行。

基本信息

发布日期： 2025年11月13日上午4:15 最后修改： 2025年11月13日上午4:15 远程利用： 是 漏洞来源： security@wordfence.com

受影响产品

目前尚未记录受影响的具体产品信息总受影响供应商：0 | 产品：0

CVSS评分

分数	版本	严重性	向量	可利用性分数	影响分数	来源
6.5	CVSS 3.1	中		1.2	5.2	security@wordfence.com
6.5	CVSS 3.1	中		1.2	5.2	MITRE-CVE

解决方案

更新Data Tables Generator插件以修复任意文件删除漏洞
限制管理员权限
监控文件系统的删除操作

参考资源

URL： https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3394112%40data-tables-generator-by-supsystic&new=3394112%40data-tables-generator-by-supsystic&sfp_email=&sfph_mail=

URL： https://www.wordfence.com/threat-intel/vulnerabilities/id/15e671e5-a9a6-4439-93cc-8d46fe0cde16?source=cve

CWE - 常见弱点枚举

CWE-22： 路径遍历 - 对路径名到受限目录的限制不当

CAPEC - 常见攻击模式枚举和分类

CAPEC-64：使用斜杠和URL编码组合绕过验证逻辑
CAPEC-76：操纵Web输入到文件系统调用
CAPEC-78：在替代编码中使用转义斜杠
CAPEC-79：在替代编码中使用斜杠
CAPEC-126：路径遍历

漏洞历史记录

新CVE接收 - 由security@wordfence.com于2025年11月13日提交

操作	类型	新值
添加	描述	Data Tables Generator by Supsystic插件存在任意文件删除漏洞…
添加	CVSS V3.1	AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H
添加	CWE	CWE-22
添加	参考	WordPress插件变更链接
添加	参考	Wordfence威胁情报链接

漏洞评分详情

CVSS 3.1

基础CVSS分数： 6.5

攻击向量：网络
攻击复杂度：低
所需权限：高
用户交互：无
范围：未改变
机密性影响：无
完整性影响：高
可用性影响：高

WordPress数据表生成器任意文件删除漏洞分析

本文详细分析了CVE-2025-12089漏洞，该漏洞影响Supsystic开发的WordPress数据表生成器插件1.10.45及以下版本，存在认证管理员任意文件删除风险，可能导致远程代码执行。