漏洞速览
- 漏洞编号：
CVE-2026-6455 - 风险评分：
8.1（高危） - 首次披露：2026-05-27
- 最近更新：2026-05-27
- 软件类型：插件
- 软件标识：
wp-contact-form-7-db-handler - 受影响版本：<= 3.0
- 修复版本：3.1
- 是否已修复：是
漏洞详情
WordPress 插件 WP Contact Form 7 DB Handler 在 3.0 及以下版本中存在跨站请求伪造（CSRF）漏洞，可导致任意文件删除、SQL 注入及 PHP 对象注入。 问题出在 processbulkaction() 函数缺少 nonce 验证——该检查仅在 POST 请求中包含 wpnonce 字段时才执行，攻击者只需省略该字段即可绕过验证。 同时，代码在数字型 SQL 上下文（WHERE ID = $ID）中直接使用了未经清理、未参数化的用户输入值，并对查询结果 postcontent 字段进行了不安全的反序列化。
攻击者可构造一个 CSRF 页面，诱骗已登录的管理员触发 UNION 型 SQL 注入（使用 CHAR() 函数绕过 escsql 的引号转义），使返回的 postcontent 为一段包含恶意序列化 PHP 数组的数据。 反序列化后，数组中键值包含 yscfdbhfile 的条目会被当作文件路径，直接拼接到上传目录路径后（未做任何路径穿越校验），再传入 wpdeletefile() 函数，从而实现对服务器上任意文件的删除（例如 wp-config.php 或系统文件）。
影响与风险
- 漏洞类型：Cross-Site Request Forgery to Arbitrary File Deletion via 'contact_form' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
修复建议
- 按官方建议执行修复：更新至 3.1 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
