漏洞速览
- 漏洞编号：
CVE-2026-13369 - 风险评分：
7.5（高危） - 首次披露：2026-07-01
- 最近更新：2026-07-01
- 软件类型：插件
- 软件标识：
ninja-forms-uploads - 受影响版本：<= 3.3.29
- 修复版本：3.3.30
- 是否已修复：是
漏洞详情
Ninja Forms 文件上传插件存在任意文件读取漏洞（WordPress 插件中对应版本最高至 3.3.29）。该漏洞的成因是 getfilesforattachment() 函数在 process() 方法因客户端提交的 saveProgress 标志提前返回时，仍会接收攻击者直接控制的 files 数组，导致所有上传验证、路径规范化及数据库记录创建步骤均被绕过，攻击者可通过 files 参数指定 filepath 值，使其作为邮件附件直接传入 wpmail()，而系统仅做 fileexists() 检查。借此漏洞，未认证攻击者可读取受感染站点服务器上的任意文件。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Read via File Upload Field 'files[].data.file_path' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：daroo
修复建议
- 按官方建议执行修复：更新至 3.3.30 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
