Google MP3 Audio Player Plugin: Nicht authentifiziertes beliebiges Lesen von Dateien

Zusammenfassung

Das WordPress-Plugin Google MP3 Audio Player (google-mp3-audio-player) bis Version 1.0.11 enthält eine nicht authentifizierte Path-Traversal-Schwachstelle in direct_download.php. Ein Angreifer aus dem Netz kann durch Manipulation des Parameters file beliebige Serverdateien lesen, zum Beispiel wp-config.php. Dadurch werden Datenbank-Zugangsdaten und geheime Schlüssel offengelegt, was zur vollständigen Übernahme der WordPress-Website führen kann. Öffentlicher Exploit-Code existiert, und eine Quelle meldet seit 2023 Ausnutzung in freier Wildbahn, was jedoch umstritten ist.

Betroffen

• Google MP3 Audio Player WordPress-Plugin (google-mp3-audio-player), Versionen 0 bis 1.0.11
• Verwundbarer Endpunkt: direct_download.php, Parameter file

Behoben in

• Version 1.0.12 laut Patchstack (nicht durch eine Herstellerwarnung oder ein Changelog bestätigt; unverifiziert)
• Das Plugin scheint nicht mehr gepflegt zu werden; auf WordPress.org überprüfen

Umgehung

• Keine Workaround-Massnahme des Herstellers dokumentiert.
• Falls kein Update möglich ist, das Plugin deaktivieren und entfernen (Empfehlung, nicht vom Hersteller).
• Keine Virtual-Patch-Regeln bei Patchstack gefunden.

Ausnutzung

• Öffentlicher Proof of Concept: Exploit-DB 35460 (Dezember 2014).
• Nuclei-Erkennungsvorlage verfügbar.
• Ausnutzung in freier Wildbahn durch Shadowserver ab 2023-10-19 gemeldet (VulDB und CVE-Beschreibung); nicht auf der Website von Shadowserver verifiziert.
• Nicht im CISA KEV bestätigt.
• Der Angriff erfordert keine Authentifizierung.

Unsere Empfehlung

• Prüfen, ob das Plugin auf WordPress-Websites installiert ist (Plugin-Liste, Pfad wp-content/plugins/google-mp3-audio-player).
• Plugin entfernen, falls es nicht benötigt wird; falls es benötigt wird, nach Überprüfung der Version auf 1.0.12 oder neuer aktualisieren.
• Datenbank-Zugangsdaten und WordPress-Salts/Schlüssel auf allen möglicherweise betroffenen Websites erneuern.
• Webserver-Logs auf Anfragen an direct_download.php mit ../-Sequenzen prüfen.
• CVSS-Werte und Angaben zur Korrektur vor einer Entscheidung mit NVD abgleichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• Exploit-DB 35460 www.exploit-db.com
• Nuclei template wp-googlemp3-lfi github.com
• VulnCheck advisory www.vulncheck.com
• VulDB CVE-2014-125130 vuldb.com
• Alert Logic advisory support.alertlogic.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:46.