Snazzy Social Media Feed 插件超危漏洞预警（CVE-2026-110002）

漏洞速览

• 漏洞编号：CVE-2026-110002
• 风险评分：9.8（严重）
• 首次披露：2026-10-13
• 最近更新：2026-10-13
• 软件类型：插件
• 软件标识：snazzy-cacheable-facebook-feed
• 受影响版本：<= 2.5
• 是否已修复：否

漏洞详情

Snazzy Social Media Feed 插件在 2.5 及以下所有版本中存在任意文件上传漏洞。 该漏洞源于独立的 save‑to‑cache.php 脚本缺少 WordPress 引导、身份验证、权限检查和随机数（nonce）校验，且对 pluginURL 参数的过滤不足，导致该值在被写入可直接 Web 执行的 PHP 文件前未被充分清理。 只要拥有订阅者或更高权限的已认证攻击者，即可利用此漏洞上传可执行文件，进而实现远程代码执行。

save‑to‑cache.php 脚本可无需加载 WordPress 直接访问，且唯一的过滤器 FILTER_SANITIZE_URL 仍保留了构造合法 PHP 载荷所需的字符，随后该载荷被原样写入 cached‑content/cached‑feed.php，攻击者只需发送一次 GET 请求即可立即执行。

影响与风险

• 漏洞类型：Unauthenticated Arbitrary File Upload via 'pluginURL' Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Abdualrhman Muzamil – 0bytes

修复建议

1. 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明