2026 年 10 月 10 日，五款 WordPress 插件同批披露高危漏洞，其中三枚 CVSS 9.8，均允许未认证攻击者取得站点控制权：Advanced IP Blocker 的认证绕过、Extensions For CF7 的任意文件上传，以及 3D Product Configurator for WooCommerce 的远程代码执行。另有两枚 CVSS 9.1，对应提权与授权绕过。
事件概述
本轮五枚漏洞编号分别为 CVE-2026-104732、CVE-2026-94589、CVE-2026-103889、CVE-2026-107645 与 CVE-2026-97670，记录已录入 NVD 与 Wordfence 漏洞库。目前尚未发现公开利用代码，也未列入 CISA KEV，但三枚 9.8 漏洞利用门槛极低。
技术细节
CVE-2026-104732：Advanced IP Blocker 双因素认证绕过
影响 8.13.13 及更早版本。问题出在 handle_login_action()：受理第二步 TOTP 提交时没有校验请求方是否已完成口令认证；而函数的错误分支会生成 advaipbl-2fa-interim-{user_id} 随机数并经 Location 头返回给任何未认证调用者，两个随机数都基于固定的 uid=0 空会话上下文计算，可被反复复用。攻击者只需知道启用该插件双因素功能的账号 user_id，即可对无节流的 6 位 TOTP 端点暴力枚举，最终拿到完整登录会话。
CVE-2026-94589：Extensions For CF7 任意文件上传
影响 3.4.5 及更早版本。签名字段的 validation_filter() 缺少扩展名、MIME 类型与体积校验，上传目录也未禁止 PHP 执行，加上 sanitize_file_name() 绕过可将 shell.php- 清洗为可执行的 shell.php，未认证上传即可获得远程代码执行，3.4.6 已修复。
CVE-2026-103889：WooCommerce 3D 产品配置器远程代码执行
触发点为 xpv_image 参数。该端点唯一的 nonce 与权限校验被整段写入块注释且无替代校验，端点实际完全敞开。
CVE-2026-107645 与 CVE-2026-97670：提权与授权绕过
Blocksy Companion 2.1.58 及更早版本中，implement_user_registration() 通过 add_filter('dokan_register_nonce_check', '__return_false') 关闭 Dokan 的供应商注册 nonce 校验，随后直接信任攻击者提交的 $_POST['role']，可将未认证访客提升为卖家账号并自动登录。Avada Builder 则允许调用任意 action 钩子，可造成永久性内容删除。
影响评估
三枚 9.8 漏洞均满足「网络可达、无需权限、无需交互」的最坏组合，被利用后即可整站接管或任意代码执行；2FA 绕过更直接绕开了站点最常依赖的加固手段，而缺少补丁的两款插件只能先靠停用规避。
修复建议
- Extensions For CF7 升级至 3.4.6 以上；3D Product Configurator for WooCommerce 与 Avada Builder 安装官方最新补丁。
- Advanced IP Blocker 与 Blocksy Companion 在确认修复版本前先停用插件。
- 复查上传目录中的可疑 .php 文件、管理员账号与认证日志，必要时重置口令并吊销会话。