漏洞速览
- 漏洞编号：
CVE-2026-118267 - 风险评分：
8.1（高危） - 首次披露：2026-11-06
- 最近更新：2026-11-06
- 软件类型：插件
- 软件标识：
wp-data-access - 受影响版本：<= 5.5.89
- 修复版本：5.5.90
- 是否已修复：是
漏洞详情
适用于 WordPress 的 WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps 插件存在权限校验不当漏洞，导致权限提升，影响5.5.89 及之前的所有版本。
原因是该插件的写入接口（wpda/app/update、wpda/app/delete、wpda/app/insert）将攻击者提供的 key 与 val 参数直接传递给 $wpdadb->update、$wpdadb->delete 和 $wpdadb->insert，而未强制应用容器的行过滤条件（defaultWhere）和按列白名单（isSelected）限制，尽管读取接口已正确执行这些约束。
这使得拥有订阅者（Subscriber）级别及以上权限的已认证攻击者能够向配置限制之外的任意行和列写入数据，包括覆盖 wp_users 表中 WordPress 管理员账户的 user_pass 字段，随后以管理员身份登录，从而实现对站点的完全接管。 利用的前提是管理员已发布启用了写事务（update、delete 或 insert）且允许订阅者级别或匿名用户使用的 Data App，而这正是该插件明确宣传的使用场景。
若要实现未认证攻击者的利用，则需管理员发布 rest_api.authorization 设置为 anonymous 的 Data App，且其容器启用了 transactions.update（或 delete/insert）。 在默认安装未做此类配置的情况下，该漏洞需要订阅者级别及以上的权限方可利用。
影响与风险
- 漏洞类型：Incorrect Authorization to Unauthenticated Privilege Escalation via 'key' and 'val' Parameters on app/update, app/delete, app/insert
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：Kuba
修复建议
- 按官方建议执行修复：更新至 5.5.90 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
