BuddyForms 插件超危漏洞预警（CVE-2026-107622）

漏洞速览

• 漏洞编号：CVE-2026-107622
• 风险评分：9.8（严重）
• 首次披露：2026-11-05
• 最近更新：2026-11-05
• 软件类型：插件
• 软件标识：buddyforms
• 受影响版本：<= 2.10.5
• 修复版本：2.10.6
• 是否已修复：是

漏洞详情

适用于 WordPress 的 BuddyForms 插件在 2.10.5 及以下所有版本中均存在权限提升漏洞，攻击者可通过 bf_post_type 参数实施表单类型混淆。公开的前台提交处理函数 buddyforms_form_response_no_ajax() 仅依据目标表单的 public_submit 标志判断是否授权未登录用户提交，却同时直接信任攻击者提供的 $_POST['bf_post_type'] 来决定新建对象的文章类型。自 2.10.2 引入的交叉检查仅对已有文章生效（要求 post_id != 0），在创建新对象时会被完全绕过。此外，save_post 监听函数 buddyforms_edit_form_save_meta_box_data() 缺少 current_user_can() 权限检查和表单构建器 nonce 验证，因此会为任意新插入的 buddyforms 自定义文章类型无条件保存攻击者提交的 $_POST['buddyforms_options']。未认证攻击者由此可以向站点当前使用的全局表单注册表 中插入恶意 BuddyForms 表单配置，并将攻击者控制的新用户角色 new_user_role 设为管理员权限，随后通过该表单提交注册请求，创建具有管理员权限的 WordPress 账户并完全接管站点。利用该漏洞的前提是 WordPress 站点已启用“任何人均可注册”选项，且至少有一个公开的 BuddyForms 表单关联到页面；这两项均属于 BuddyForms 的常见部署配置。

影响与风险

• 漏洞类型：Unauthenticated Privilege Escalation to Form-Type Confusion via 'bf_post_type' Parameter
• 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
• 研究人员：Supakiad S. (m3ez) – E-CQURITY (Thailand)

修复建议

1. 按官方建议执行修复：更新至 2.10.6 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录