漏洞速览
- 漏洞编号：
CVE-2026-15450 - 风险评分：
8.1（高危） - 首次披露：2026-07-31
- 最近更新：2026-07-31
- 软件类型：插件
- 软件标识：
nex-forms-express-wp-form-builder - 受影响版本：<= 9.2.3
- 修复版本：9.2.4
- 是否已修复：是
漏洞详情
Nex Forms – Ultimate Form Builder – Lite 插件在 9.2.3 及之前版本中存在任意文件删除漏洞，攻击者可利用路径遍历手段实现攻击。该漏洞的成因是 deletefile() AJAX 处理器从数据库中读取文件路径后直接传入 unlink() 函数，而未进行任何验证（未使用 realpath()、basename() 或白名单检查）。与此同时，insertrecord() AJAX 处理器允许同一已认证用户在 location 字段中存储任意值（wp_kses() 仅会移除 HTML 标签，无法阻止路径遍历或绝对路径）。因此，持有管理员级别及以上权限的已认证攻击者可利用此漏洞删除服务器上的任意文件，包括 wp-config.php。当插件的用户级别选项被配置为其他值时，也可能以更低的权限被利用。
影响与风险
- 漏洞类型：Authenticated (Admin+) Arbitrary File Deletion via Path Traversal via ‘location’ Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Wordfence PRISM – Wordfence
修复建议
- 按官方建议执行修复：更新至 9.2.4 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
