漏洞速览
- 漏洞编号：
CVE-2026-15983 - 风险评分：
8.1（高危） - 首次披露：2026-09-30
- 最近更新：2026-09-30
- 软件类型：插件
- 软件标识：
super-forms - 受影响版本：<= 6.3.316
- 修复版本：6.3.317
- 是否已修复：是
漏洞详情
Super Forms – Drag & Drop Form Builder 插件在 6.3.316 及之前所有版本中存在任意文件/目录删除漏洞。该漏洞的成因是：super_save_form AJAX 处理器未进行权限校验，任何订阅者级别（Subscriber）的已认证用户均可创建或修改 Super Forms 并启用 file_upload_submission_delete 设置；与此同时，super_submit_form 处理器中的 submit_form 函数将攻击者可控的 $_POST['data'] 中的 files[].subdir 值直接传入 SUPER_Common::delete_dir() 而未做任何过滤。此外，代码中存在一个可轻易绕过的 ABSPATH 防护：攻击者只需将 subdir 设为 wp-config.php，dirname(realpath(ABSPATH . $subdir)) 便会解析到 WordPress 根目录，而 ABSPATH !== $dir 的字符串比对因末尾斜杠不匹配而失效。由于上述两点，攻击者利用订阅者及以上级别账号即可递归删除服务器上任意文件与目录，包括整个 WordPress 安装目录，导致站点完全瘫痪；若 wp-config.php 等关键文件被删除后站点被他人重新安装，还可能引发远程代码执行。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Arbitrary File/Directory Deletion via 'subdir' / 'path' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：d.v4n_s3c
修复建议
- 按官方建议执行修复：更新至 6.3.317 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
