漏洞速览
- 漏洞编号：
CVE-2026-5478 - 风险评分：
8.1（高危） - 首次披露：2026-04-20
- 最近更新：2026-04-20
- 软件类型：插件
- 软件标识：
everest-forms - 受影响版本：<= 3.4.4
- 修复版本：3.4.5
- 是否已修复：是
漏洞详情
Everest Forms 插件存在任意文件读取与删除漏洞，影响至 3.4.4 版本。 该漏洞的成因在于插件将公开表单中 attacker可控的 oldfiles 数据视为合法的服务端上传状态，并使用基于正则表达式的字符串替换将 attacker提供的 URL 转换为本地文件系统路径，期间未进行规范化处理或目录边界校验。 这使得未认证 attacker可以通过在 oldfiles 上传字段参数中注入路径穿越载荷来读取任意本地文件（例如 wp-config.php），这些文件随后会被附加到通知邮件中。
同样的路径解析逻辑也被用于邮件发送后的清理流程，该流程会对解析后的路径调用 unlink()，导致目标文件在附加后被删除。 攻击者可借此通过泄露 wp-config.php 中的数据库凭据和认证盐来实现完整站点劫持，或通过删除关键文件造成拒绝服务。 前提条件：表单必须包含文件上传或图片上传字段，且需关闭条目录入存储功能。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Read and Deletion via Upload Field 'old_files' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：ll
修复建议
- 按官方建议执行修复：更新至 3.4.5 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
