漏洞速览
- 漏洞编号：
CVE-2026-118235 - 风险评分：
9.8（严重） - 首次披露：2026-10-30
- 最近更新：2026-10-30
- 软件类型：插件
- 软件标识：
simple-form - 受影响版本：<= 3.10.2
- 修复版本：3.11.0
- 是否已修复：是
漏洞详情
WordPress 插件 SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications 的 3.10.2 及之前所有版本存在任意文件上传漏洞，漏洞源于 handle_upload 函数。该函数在服务端缺少文件键名白名单校验，且在预处理文件扩展名时存在缺陷，使得以点号结尾的文件名（如末尾带“.”）可以绕过所有扩展名与 MIME 类型校验。这使得未认证攻击者有可能上传可执行文件，进而导致远程代码执行。该接口唯一的访问控制是一个 nonce，而这个 nonce 会明文输出在每个公开表单的 data-nonce 属性中，任何访问包含该表单短代码页面的未认证访客都能轻易获取。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Upload via Trailing-Dot Filename via Unknown File Key in simpleform_get_submit_data
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：whysocscs
修复建议
- 按官方建议执行修复：更新至 3.11.0 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
