漏洞速览
- 漏洞编号：
CVE-2026-18438 - 风险评分：
8.8（高危） - 首次披露：2026-08-14
- 最近更新：2026-08-14
- 软件类型：插件
- 软件标识：
templately - 受影响版本：<= 3.7.1
- 修复版本：3.7.2
- 是否已修复：是
漏洞详情
Templately – Elementor & Gutenberg Template Library: 6500+ Free & Pro Ready Templates And Cloud! 这个 WordPress 插件在 3.7.1 及以下所有版本中存在远程代码执行漏洞。 问题出在 fetch_remote_file 函数对文件名的校验逻辑存在缺陷：验证文件类型时采用的是攻击者可控的 Content-Disposition 文件名，而非 URL 路径中实际指定的 destination 文件名。
这使得具有 contributor 级别及以上权限的已登录用户能够直接在服务器上执行代码。 攻击者只需构造一个 GIF+PHP 多态文件，利用 Content-Disposition 文件名通过 wp_check_filetype_and_ext 对 image/gif 的校验，而实际写入路径的文件扩展名则来自 URL 路径中的 .php 文件名，从而完全绕过了 unfiltered_upload 能力检查。
受影响的接口在此权限级别下均可访问，因为 Templately 的全部 REST API（包括本次攻击中用到的云端导入接口 /templately/v1/clouds/upload 和 /templately/v1/insert）仅通过 current_user_can('delete_posts') 进行权限校验，并未要求管理员权限或 manage_options 能力。 同一权限检查还允许 contributor 级别的用户通过 /templately/v1/login 端点并设置 global_signin 为 true 来覆盖站点全局的 Templately 云端连接。
完整修复需要从两个方面入手：一是修正 fetch_remote_file 函数，对实际写入路径的文件名而非 Content-Disposition 头中的文件名进行文件类型校验（并避免从请求 URL 中推导写入路径）；二是将涉及状态变更的 Templately REST 路由限制为适当的管理员级别权限。
影响与风险
- 漏洞类型：Authenticated (Contributor+) Arbitrary File Upload to Remote Code Execution via Gutenberg Cloud Import Attachment Filename Mismatch
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Dmitrii Ignatyev – CleanTalk Inc
修复建议
- 按官方建议执行修复：更新至 3.7.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
