漏洞速览
- 漏洞编号：
CVE-2026-126537 - 风险评分：
9.1（严重） - 首次披露：2026-11-11
- 最近更新：2026-11-11
- 软件类型：插件
- 软件标识：
ninja-forms-uploads - 受影响版本：<= 3.3.36
- 修复版本：3.3.37
- 是否已修复：是
漏洞详情
WordPress 插件 Ninja Forms – File Uploads 扩展在 3.3.36 及以下版本中存在任意文件删除漏洞（并可通过 S3、Dropbox 或 Google Drive 数据外泄实现任意文件读取）。
该漏洞涉及 includes/fields/upload.php 中的 NF_FU_Fields_Upload::process()：当公开提交包含非空的 extra.saveProgress 时，函数会提前返回，从而保留客户端提供的 files[]；同时还涉及 includes/external/abstracts/service.php 中的 NF_FU_External_Abstracts_Service::process_upload()，其权威路径重新加载逻辑仅在客户端发送 upload_id 时才会触发。
攻击者只需省略 upload_id，data[file_path] 就会进入后台上传队列，并被 includes/external/abstracts/backgroundupload.php 中的 upload_file_to_s3()（作为 SourceFile）以及 maybe_delete_server_file() 的 unlink() 调用使用，且过程中没有进行路径规范化或上传目录范围校验（插件自带的 is_path_within_upload_dir() 辅助函数仅用于管理后台路径）。
因此，未认证攻击者可以删除受影响网站服务器上的任意文件，这可能进一步导致远程代码执行；具体而言，删除 wp-config.php 会迫使 WordPress 进入安装设置页面，从而实现对整个网站的完全接管。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Deletion via 'files[].data.file_path' Parameter via 'extra.saveProgress'
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：daroo
修复建议
- 按官方建议执行修复：更新至 3.3.37 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
