漏洞速览
- 漏洞编号：
CVE-2026-93754 - 风险评分：
9.8（严重） - 首次披露：2026-11-06
- 最近更新：2026-11-06
- 软件类型：插件
- 软件标识：
payever-woocommerce-gateway - 受影响版本：<= 4.8.0
- 修复版本：4.9.0
- 是否已修复：是
漏洞详情
WordPress 的 payever – WooCommerce Gateway 插件在 4.8.0 及之前的所有版本中存在任意文件上传漏洞，可导致远程代码执行。该插件注册了三个 WooCommerce API 回调（payever_set_sandbox_api_keys、payever_toggle_subscription、payever_synchronization_incoming），它们均未做身份验证、权限能力检查或 nonce 校验；其中的 upload_image() 例程会先使用攻击者可控的 basename() 将远程获取的文件写入公共上传目录，然后才校验文件类型，因此未认证的攻击者可以写入可执行的 PHP 文件并实现远程代码执行。需要说明的是，完整利用链中的令牌恢复环节依赖插件向 Payever 服务发起的 validateToken() 出站调用；而其中未授权使用硬编码凭证覆盖身份的问题（CWE-862/CWE-798）本身即可独立利用。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Upload Leading to Remote Code Execution
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Supakiad S. (m3ez) – E-CQURITY (Thailand)
修复建议
- 按官方建议执行修复：更新至 4.9.0 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
