插件安全 - 卫方智能网络安全资讯平台

Prime Mover 插件 9.8 分反序列化：评论框埋雷，导出时引爆

2026年10月26日作者卫方智能

Prime Mover 备份迁移插件 2.2.1 及更早版本存在 PHP 对象注入 CVE-2026-115806，CVSS 3.1 评分 9.8。未登录访客把 base64 序列化对象写进评论区，静默躺在数据库里，等管理员执行一次导出或还原才被反序列化。修复版 2.2.2。

2026年10月21日作者卫方智能

Rank Math PRO 3.0.123 在 10 月 15 日至 16 日的 11 小时里带后门分发，版本号与正版一致，激活即失陷，访问站点还会自动重建后门。Wordfence 编号 CVE-2026-111862，9.8 分。

2026年10月20日作者卫方智能

WordPress 自动化插件 OttoKit（SureTriggers）1.1.40 及更早版本存在权限分配不当缺陷，CVSS 9.8，攻击者可在受影响站点上提权至管理员，进而植入后门或劫持流量。

2026年10月11日作者卫方智能

10 月 10 日五款 WordPress 插件同批披露高危漏洞，含三枚 CVSS 9.8：Advanced IP Blocker 认证绕过、Extensions For CF7 任意文件上传、3D Product Configurator 远程代码执行，另两枚 9.1 为提权与授权绕过。

2026年10月10日作者卫方智能

WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。

2026年9月29日作者卫方智能

Request a Quote for WooCommerce 插件 2.9.2 及以下存在未认证任意文件上传漏洞 CVE-2026-18143，CVSS 9.8，攻击者可在可访问目录写入 PHP 文件；官方已发 2.9.3，同时建议禁止 uploads 目录执行 PHP。

2026年9月27日作者卫方智能

Elementor Website Builder 4.3.0 与 4.3.1 存在 CSRF 漏洞，CVSS 8.8，已登录管理员点击一个链接即可被诱导执行任意 REST API 操作，默认安装下会为攻击者新建管理员账号。受影响版本安装量超 200 万，修复版本 4.3.2。

2026年9月14日作者卫方智能

WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。

2026年9月13日作者卫方智能

Everest Forms 3.6.0 及更早版本存在未认证 PHP 对象注入漏洞 CVE-2026-62103，CVSS 9.8。攻击者无需登录即可提交恶意序列化数据，配合站点内已有 POP 链可致代码执行。