ZONE.CI 全球网

WordPress核心存在零点击存储型XSS漏洞CVE-2026-93485，攻击者仅需提交一条评论，当具有插件安装权限的管理员浏览页面时即可触发脚本上传恶意插件，最终实现远程代码执行。该漏洞影响范围极广，互联网上存在超5300万个潜在易受攻击实例，且PoC已公开，风险极高。建议用户立即升级至官方修复版本，并采取关闭评论、启用审核、限制后台访问等临时缓解措施。

WordPress核心存在未授权路径遍历漏洞CVE-2026-87902，可致条件性远程代码执行，影响多个版本分支，CVSS评分8.1高危，POC已公开。攻击者可利用漏洞执行任意代码，导致网站被控制或数据泄露。建议立即升级至官方修复版本，并关注官方安全公告。

该文档为WordPressCore存储型跨站脚本漏洞CVE-2026-93485的通告，漏洞存在于评论处理流程，攻击者可利用恶意评论在管理员会话中执行脚本，进而可能实现远程代码执行。影响多个WordPress版本，官方已发布修复版本。建议立即升级至最新版本，若无法升级可关闭评论功能或禁用文件修改权限，并检查管理员会话及异常日志。

WordPress7.1.1版本修复11个安全漏洞，包括存储型XSS和路径遍历漏洞，涉及核心组件、RESTAPI、评论、XML-RPC及插件管理。重点修复了wpautop函数中的存储型XSS，可能被未认证用户通过评论注入恶意脚本，以及已认证路径遍历漏洞。建议用户尽快更新至最新版本以防范潜在攻击。

WordPress插件Forminator存在未认证任意短代码执行漏洞CVE-2026-92229，影响1.57.2及之前版本，1.57.3已修复。漏洞源于AJAX钩子未认证获取nonce，测验模块current_url参数经esc_url绕过后可注入短代码并执行。建议立即升级至1.57.3或更高版本。

WordPress存在严重漏洞CVE-2026-87902，CVSS评分9.2，可致未授权远程代码执行，补丁发布当日即遭在野利用。攻击者通过加载pearcmd.php写入恶意文件，已观测到68次利用尝试。建议管理员立即升级至WordPress7.1.2或对应分支修复版本，并全面审计排查恶意活动痕迹。

WordPress核心漏洞CVE-2026-87902影响4.7.0至7.1.1版本，CVSS9.2。根因是get_page_template()未校验路径，双重URL编码可绕过实现LFI，特定PHP配置下可升级RCE。建议升级至7.1.2等修复版本，关闭register_argc_argv并部署WAF规则拦截恶意pagename参数。

本文深入分析WordPressCVE-2026-93485漏洞，攻击者通过匿名评论注入恶意payload，利用wpautop()与KSES过滤逻辑差异触发零点击XSS，劫持管理员会话上传Webshell实现RCE。影响WordPress4.7至7.1版本，建议立即升级至修复版本并部署WAF规则拦截恶意评论。

WordPress核心存在无需登录的路径遍历漏洞CVE-2026-87902，CVSS9.2分，影响4.7.0至7.1.1版本。攻击者通过双重URL编码绕过模板解析限制，可包含任意本地PHP文件，结合pearcmd.php实现远程代码执行，已观测到在野利用。建议立即升级至修复版本，检查主题page-\\*目录及pearcmd.php，并监控双重编码请求日志。

CVE-2026-18143是WordPressRequestaQuoteforWooCommerce插件（≤2.9.2）的未认证任意文件上传漏洞，CVSS9.8，无补丁且插件已下架。攻击者可上传PHPWebshell至Web可访问目录实现远程代码执行。建议立即停用插件，关闭popup上传入口，配置Nginx规则禁止上传目录执行PHP，并排查失陷迹象。

WordPress核心存在严重本地文件包含漏洞CVE-2026-87902，影响7.1.2以下版本，无需认证即可利用，可实现任意文件读取及满足条件下远程代码执行，已监测到野外利用。建议立即升级至7.1.2版本，临时缓解措施包括重命名page-开头的目录、清理遗留PHP文件、配置WAF拦截路径遍历请求，并通过日志检索page\\_template参数自查。

本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器级联变换，攻击者可通过评论零点击触发。影响4.7至7.1版本，官方已发布修复。建议立即升级、排查异常文件、关闭评论审核，并部署WAF拦截恶意评论。

WordPress存在编码绕过漏洞CVE-2026-87902，影响4.7.0至7.1.1版本，未经验证攻击者可通过双重URL编码加载任意PHP文件，特定环境下可升级为RCE。POC已公开，官方已发布修复版本，建议用户立即升级至安全版本以规避风险。

CVE-2026-75957是WordPress建站SaaS插件UltimateMultisite的未认证认证绕过漏洞，CVSS9.8，影响全部≤2.15.0版本，2.15.1已修复。漏洞源于nonce被当鉴权、参数注入掏空校验、邮箱映射用户ID及无密码登录四环信任链串联，可免密登录任意已知邮箱用户含超管。建议立即升级至2.15.1，升级前可用WAF拦截未登录调用，高权限账号升级后重置密码并踢掉会话。

WordPress备份插件EverestBackup与BackWPUp依赖Apache专属的.htaccess保护敏感文件，但在Nginx、Caddy等非Apache服务器上该机制失效，导致备份文件与数据库备份可被未授权下载。EverestBackup漏洞未修复，BackWPUp已在v5.7.4修复。建议用户检查服务器类型，避免依赖.htaccess，改用插件官方安全机制或服务器层访问控制。

WordPressDevKitPro插件存在CVE-2026-14378认证绕过漏洞，CVSS9.8，影响版本2.3.0及以下。漏洞源于revert_switch处理器错误信任攻击者可控的original_user\\_idCookie，未认证攻击者可获取管理员会话，实现整站接管。建议立即升级至2.3.1，或通过WAF拦截相关Cookie请求，并检查管理员账号异常登录。

本文分析WordPress订餐插件VikAppointments的CVE-2026-87115任意文件删除漏洞，CVSS9.1，未认证攻击者可删除服务器任意文件，删wp-config.php可致RCE。根因是File字段处理未校验路径，建议升级至1.2.22并移除File字段，检查关键文件完整性。

libheif存在严重堆缓冲区溢出漏洞，影响未压缩图像解码器，已通过身份验证的WordPress用户可上传特制HEIC图像实现远程代码执行。该漏洞在libheif1.23.3中修复，攻击链利用混合交错YCbCr解码缺陷，需WordPress作者级别以上权限。建议立即升级libheif至最新版本，并限制上传权限。

WordPress发布7.1.3安全更新，修复存储型XSS、二阶SQL注入、参数伪造及拒绝服务等七个漏洞，涉及评论审核、Imgur嵌入及WXR导出功能。官方未提供CVE编号与CVSS评分，建议用户立即更新至最新版本，旧分支已同步修复补丁。

WordPressBricksforge插件存在严重RCE漏洞CVE-2026-85097，CVSS满分10.0，影响3.1.8.9及更早版本，官方已修复。漏洞源于参数校验缺陷，攻击者可未认证执行任意代码，已遭野外利用。建议管理员立即升级至4.0.1版本，并审计相关接口和目录。同时提醒其他两个插件也存在漏洞，以及WordPressQ2安全态势。