CVE-2026-45293：拥有超4900万安装量的WordPress Coding Standards工具存在任意代码执行漏洞

sec随谈
sec随谈

sec随谈

2026年7月29日 10:29
北京

在小说阅读器读本章

去阅读

摘要

WordPress Coding Standards中的一个漏洞允许恶意PHP代码在对其进行代码检查（lint）的机器上执行代码。该漏洞编号为CVE-2026-45293，CVSS评分为8.6。安全公告将其称为该工具某个检测规则（sniff）中的\"任意代码执行漏洞\"。

为何重要

WordPress Coding Standards是一款极为流行的开发者工具，在Packagist上的安装量已超过4900万次。由于该漏洞会在代码扫描过程中被触发，一个被恶意植入的pull request便可能在CI（持续集成）流水线内部执行命令，这使得一次原本普通的代码规范检查步骤，变成了攻击者入侵的立足点。

需要说明一个关键细节：此漏洞不会影响正在运行中的WordPress网站本身，只有那些对不受信任的PHP代码进行扫描检查的开发者和CI系统才会受到波及。尽管如此，这一影响范围依然覆盖了大量会自动对贡献者提交的代码进行检查的开源项目。

攻击原理

该问题存在于一个用于检查脚本版本参数的检测规则（sniff）中。当该规则检查这一参数值时，会\"重新构造该参数，并将其通过eval()函数执行\"。因此，一个经过精心构造、最终会解析为函数调用的版本参数值，便会在扫描过程中被执行。只有WordPress和WordPress-Extra这两套规则集会触发该漏洞，WordPress-Core和WordPress-Docs规则集则不受影响，是安全的。

受影响版本

该问题影响3.4.1版本之前的所有WordPressCS版本。研究员@FORIMOC负责任地报告了此漏洞。截至目前，尚未确认存在在野利用情况，也没有公开的利用代码出现。

补丁与应对措施

请立即升级。维护团队表示：\"我们建议所有用户升级至3.4.1或更高版本。\"如果暂时无法完成升级，可以将存在漏洞的检测规则从你自定义的规则集中临时排除，作为过渡性应对措施。关于这一WordPress Coding Standards漏洞的完整详情，请参见官方发布的GitHub安全公告。

参考链接：

https://github.com/WordPress/WordPress-Coding-Standards/security/advisories/GHSA-3pwp-g2mj-5p3v