漏洞速览
- 漏洞编号：
CVE-2026-9834 - 风险评分：
7.2（高危） - 首次披露：2026-07-01
- 最近更新：2026-07-01
- 软件类型：插件
- 软件标识：
wp-database-backup - 受影响版本：<= 7.11
- 修复版本：7.12
- 是否已修复：是
漏洞详情
WordPress 插件"WP Database Backup – Unlimited Database & Files Backup by Backup for WP"在版本7.11及以下所有版本中存在操作系统命令注入漏洞。问题出在includes/admin/class-wpdb-admin.php文件中mysqldump()函数直接将用户通过$POST['wpdbexcludetable']提交的值拼接到mysqldump shell命令中，而没有使用escapeshellarg()进行包裹——同一条命令中的其他参数（DBUSER、DBPASSWORD、host、文件名、DBNAME）均做了正确转义，唯独排除表参数是例外；再加上现有过滤仅通过sanitizetextfield()或recursivesanitizetextfield()移除HTML标签，管道符;、|、反引号` `以及$()等shell元字符均被完整保留。因此，具有管理员级别及以上权限的已认证攻击者即可在服务器上执行任意操作系统命令，从而可能导致完全远程代码执行。该注入为存储型：攻击者通过插件设置表单提交的恶意内容会经由updateoption(‘wpdbexcludetable')持久化到WordPress选项表，随后在每次备份操作时通过getoption()取出并未经任何处理地直接传入shellexec()`执行。
影响与风险
- 漏洞类型：Authenticated (Administrator+) OS Command Injection via 'wpdbexclude_table' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Irwan Kusuma – wanjay
修复建议
- 按官方建议执行修复：更新至 7.12 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
