漏洞速览
- 漏洞编号：
CVE-2026-17196 - 风险评分：
8.8（高危） - 首次披露：2026-10-07
- 最近更新：2026-10-07
- 软件类型：插件
- 软件标识：
super-forms - 受影响版本：<= 6.3.316
- 修复版本：6.3.317
- 是否已修复：是
漏洞详情
Super Forms – Drag & Drop Form Builder 插件在 6.3.316 及之前所有版本中，存在不受限制的文件类型上传漏洞（Unrestricted File Type Upload），问题出在 upload_files 函数缺少文件类型校验。该函数直接从 _super_elements 文章元数据中读取攻击者可控的扩展名字符串，并将其原样作为允许的 MIME 类型映射来使用。这使得具有订阅者（Subscriber）级别及以上权限的已认证攻击者能够上传可执行文件，从而实现远程代码执行。攻击需要前置步骤：通过 super_save_form AJAX 接口污染 _super_elements 文章元数据，该接口既没有权限验证也没有随机数（nonce）校验，但要求攻击者至少为订阅者级别；而后续通过 super_upload_files 上传文件则完全不需要任何认证。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Arbitrary File Upload via 'extensions' Form Element Attribute
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：d.v4n_s3c
修复建议
- 按官方建议执行修复：更新至 6.3.317 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
