ZONE.CI 全球网

WordPressCVE-2026-87902为严重远程代码执行漏洞，CVSS评分9.8，正被全球攻击者积极利用。攻击者可未经认证写入恶意文件执行任意PHP代码，影响WordPress6.0至6.6.1版本。建议立即升级至6.6.2或更高版本，并进行文件系统审计与日志分析以检测入侵痕迹。

该文档为弥天安全实验室发布的WordPressVisualComposerWebsiteBuilder插件CVE-2026-12227漏洞复现报告。漏洞源于vcv-template参数存在本地文件包含，影响45.16.0及之前版本，未认证攻击者可读取任意文件甚至执行代码。文章提供POC验证过程，并建议升级补丁及部署WAF等防御措施。

WordPressCVE-2026-87902为严重远程代码执行漏洞，CVSS评分9.8，正被全球攻击者积极利用。攻击者可未经认证写入恶意文件执行任意PHP代码，影响WordPress6.0至6.6.1版本。建议立即升级至6.6.2或更高版本，并进行文件系统审计与日志分析以检测入侵痕迹。

WordPressBricksforge插件存在严重RCE漏洞CVE-2026-85097，CVSS满分10.0，影响3.1.8.9及更早版本，官方已修复。漏洞源于参数校验缺陷，攻击者可未认证执行任意代码，已遭野外利用。建议管理员立即升级至4.0.1版本，并审计相关接口和目录。同时提醒其他两个插件也存在漏洞，以及WordPressQ2安全态势。

文章总结： 本文分析WordPress订餐插件VikAppointments的CVE-2026-87115任意文件删除漏洞，CVSS9.1，未认证攻击者可删除服

文章总结： CVE-2026-75957是WordPress建站SaaS插件UltimateMultisite的未认证认证绕过漏洞，CVSS9.8，影响全部≤2

文章总结： WordPressDevKitPro插件存在CVE-2026-14378认证绕过漏洞，CVSS9.8，影响版本2.3.0及以下。漏洞源于revert

文章总结： WordPress存在编码绕过漏洞CVE-2026-87902，影响4.7.0至7.1.1版本，未经验证攻击者可通过双重URL编码加载任意PHP文件

文章总结： 本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器

文章总结： 本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器

文章总结： 本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器

文章总结： 本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器

文章总结： 本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器

文章总结： WordPress插件Forminator存在未认证任意短代码执行漏洞CVE-2026-92229，影响1.57.2及之前版本，1.57.3已修复。

文章总结： WordPress核心漏洞CVE-2026-87902影响4.7.0至7.1.1版本，CVSS9.2。根因是getpagetemplate()未校验

文章总结： WordPress核心漏洞CVE-2026-87902影响4.7.0至7.1.1版本，CVSS9.2。根因是getpagetemplate()未校验

文章总结： WordPress核心存在严重本地文件包含漏洞CVE-2026-87902，影响7.1.2以下版本，无需认证即可利用，可实现任意文件读取及满足条件下

文章总结： 本文介绍Kali工具wpscan，一款专用于WordPress站点的黑盒漏洞扫描器，可枚举插件、主题、用户及版本，比对漏洞数据库，并支持后台密码爆破

文章总结： WordPress严重漏洞CVE-2026-87902在披露后数小时内即遭在野利用，CVSS评分9.2，可致未授权远程代码执行。攻击者利用pearc

文章总结： 本文深入分析WordPressCVE-2026-93485漏洞，攻击者通过匿名评论注入恶意payload，利用wpautop()与KSES过滤逻辑差