cve-2025-64205是wordpress jannah主题7.6.0至7.9.3版本中存在的未认证本地文件包含漏洞，攻击者可利用ajax-download-file.php读取wp-config.php等敏感文件，需立即删除该文件、配置web服务器拦截或升级至7.9.4+修复。
WordPress Jannah主题7.6.0至最新版存在本地文件包含（LFI）漏洞CVE-2025-64205，攻击者可构造恶意请求读取服务器敏感文件（如wp-config.php、.env），无需登录即可触发，已确认影响生产环境。
确认是否受影响
进入WordPress后台 → 外观 → 主题 → 查看当前激活主题名称与版本号。若显示为Jannah且版本号在7.6.0～7.9.3之间（含7.6.0，不含7.9.4），则【必须立即处理】。
打开浏览器，访问：/wp-content/themes/jannah/includes/ajax/ajax-download-file.php?file=../../wp-config.php。若页面返回数据库配置内容（含DB_NAME、DB_USER等明文），说明漏洞已可利用。
临时缓解：禁用危险端点
方法一：通过FTP或SFTP删除关键文件
连接服务器 → 进入/wp-content/themes/jannah/includes/ajax/目录 → 删除ajax-download-file.php文件。该文件非主题核心功能所必需，删除后不影响前台展示与后台编辑。
方法二：用.htaccess规则拦截（仅Apache环境）
在/wp-content/themes/jannah/目录下新建或编辑.htaccess，追加以下两行：
<files> Require all denied </files>
注意：Nginx用户需在server块中添加location ~ /jannah/includes/ajax/ajax-download-file\.php { return 403; }并重载配置。
永久修复：升级到安全版本
第一步：登录ThemeForest账户 → 进入「Downloads」页面 → 找到Jannah主题条目 → 点击「Download the latest version」获取7.9.4或更高版本ZIP包。
构建并排查Microsoft Word邮件合并及DOCX模板工作流，使用合并域、内容控件、文档属性、重复区块、数据等
第二步：解压ZIP包，确认根目录下存在changelog.txt，打开后首行应为Version 7.9.4 (22 Oct 2026)或更新日期。
第三步：通过WordPress后台上传安装 → 外观 → 主题 → 「添加新主题」→ 「上传主题」→ 选择刚下载的ZIP → 点击「立即安装」→ 安装完成后「启用」。
⚠️ 切勿直接覆盖旧主题文件夹：Jannah主题的自定义设置（如Logo、颜色方案）保存在数据库中，但部分高级模块（如广告位配置、首页布局缓存）可能依赖主题内PHP常量，覆盖操作会导致这些配置丢失且无法自动恢复。
验证修复是否生效
重新访问此前构造的LFI测试URL：/wp-content/themes/jannah/includes/ajax/ajax-download-file.php?file=../../wp-config.php。
若返回HTTP 404（页面不存在）或403（拒绝访问），而非配置内容，则漏洞已封堵。
登录WordPress后台 → 查看右上角「主题」卡片中的版本号，确认显示为7.9.4或更高。
