漏洞速览
- 漏洞编号：
CVE-2026-5294 - 风险评分：
9.8（严重） - 首次披露：2026-05-04
- 最近更新：2026-05-04
- 软件类型：插件
- 软件标识：
geeky-bot - 受影响版本：<= 1.2.2
- 修复版本：1.2.3
- 是否已修复：是
漏洞详情
WordPress 的 Geeky Bot 插件存在未授权访问漏洞，影响版本至 1.2.2。该漏洞源于一个 nopriv AJAX 路由允许攻击者控制模型/函数的调用，并触发了插件安装辅助功能，从而下载并解压攻击者提供的 ZIP 文件到 wp-content/plugins/ 目录。这使得未认证的攻击者可以任意安装插件并实现远程代码执行。
影响与风险
- 漏洞类型：Missing Authorization to Unauthenticated Arbitrary Plugin Installation via 'geekybot_frontendajax' AJAX Action
- 风险说明：攻击者可在特定权限条件下触发任意插件安装，导致站点被进一步植入恶意组件。
- 研究人员：kiemtiendinhau
修复建议
- 按官方建议执行修复：更新至 1.2.3 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
