文件上传漏洞 - 卫方智能网络安全资讯平台

WordPress 五款插件同批曝高危漏洞：三枚 9.8 可未认证接管站点

2026年10月11日作者卫方智能

10 月 10 日五款 WordPress 插件同批披露高危漏洞，含三枚 CVSS 9.8：Advanced IP Blocker 认证绕过、Extensions For CF7 任意文件上传、3D Product Configurator 远程代码执行，另两枚 9.1 为提权与授权绕过。

2026年10月10日作者卫方智能

WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。

2026年9月29日作者卫方智能

Request a Quote for WooCommerce 插件 2.9.2 及以下存在未认证任意文件上传漏洞 CVE-2026-18143，CVSS 9.8，攻击者可在可访问目录写入 PHP 文件；官方已发 2.9.3，同时建议禁止 uploads 目录执行 PHP。

2026年9月26日作者卫方智能

霍尼韦尔 PD45 工业打印机 Web 管理界面存在未认证任意文件上传缺陷，攻击者无需凭据即可上传恶意文件并执行系统命令，CVSS 9.8。受影响固件为 F10.19.010040，需升级至 F10.22.030745 以上。

2026年9月23日作者卫方智能

ShinyHunters 利用 Cl0p 暗网泄露站点所用 Grav CMS 的未认证文件上传缺陷拿下站点，将其完全篡改并反向索要八位数赎金，威胁公开曾向 Cl0p 付款的企业名单、金额与比特币地址。

2026年9月7日作者卫方智能

Wordfence 报告 Super Forms 未认证文件上传漏洞 CVE-2026-14894 遭在野利用，超 25 万次攻击被拦截；All-in-One WP Migration 二阶 SQL 注入 CVE-2026-19949 影响 500 万级安装量。

2026年8月22日作者卫方智能

2026 年 8 月 19 日披露的 Elementor Pro Forms 文件上传组件漏洞 CVE-2026-32475 允许未认证攻击者绕过文件扩展名黑名单，直接向 Web 根目录写入 PHP 文件并执行任意代码，CVSS 9.0-9.8，影响全球数千万 WordPress 站点。

2026年8月14日作者卫方智能

WordPress 7.0.4于8月12日紧急发布，修复CVE-2026-65640（CVSS 8.8）Imagick+Ghostscript 链路上传RCE漏洞，Author+权限即可触发，影响4.7至7.0全部主流分支，XML-RPC与MP3封面两条路径绕过上传统校验。

2026年7月28日作者卫方智能

从Nginx禁用执行权限到PHP/Python应用层多重校验，详解文件上传漏洞的完整防护方案，涵盖扩展名白名单、MIME检测、文件头校验和随机重命名等实战配置。