漏洞速览
- 漏洞编号：
CVE-2026-15896 - 风险评分：
9.1（严重） - 首次披露：2026-10-01
- 最近更新：2026-10-01
- 软件类型：插件
- 软件标识：
super-forms - 受影响版本：<= 6.3.316
- 修复版本：6.3.317
- 是否已修复：是
漏洞详情
Super Forms – Drag & Drop Form Builder 插件存在目录遍历漏洞，影响至 6.3.316（含）的所有版本，漏洞点位于 parse_request 函数。未经认证的攻击者可利用此漏洞读取服务器上任意文件的内容，从而获取敏感信息。该插件有一个可选的"file_upload_auth"设置项，默认为空，即默认配置下无需任何认证即可利用；虽然开启该设置能阻止未授权利用，但并不能修复路径遍历本身的问题。在 Linux 系统上利用此漏洞需要一个真实存在的 13 位时间戳目录，而在 Windows 上则可以使用任意 13 位数字作为前缀。不过，由于插件在文件上传响应中会返回所创建目录的名称，因此只要在表单上启用了文件上传功能，漏洞就可以被利用。
影响与风险
- 漏洞类型：Unauthenticated Path Traversal to Arbitrary File Read via 'sfgtfi' URL Path Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：afei
修复建议
- 按官方建议执行修复：更新至 6.3.317 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
