payever 插件超危漏洞预警（CVE-2026-93754）

漏洞速览

• 漏洞编号：CVE-2026-93754
• 风险评分：9.8（严重）
• 首次披露：2026-11-06
• 最近更新：2026-11-06
• 软件类型：插件
• 软件标识：payever-woocommerce-gateway
• 受影响版本：<= 4.8.0
• 修复版本：4.9.0
• 是否已修复：是

漏洞详情

WordPress 的 payever – WooCommerce Gateway 插件在 4.8.0 及更早版本中存在任意文件上传漏洞，可导致远程代码执行。 三个 WooCommerce API 回调（payever_set_sandbox_api_keys、payever_toggle_subscription、payever_synchronization_incoming）注册时未进行身份验证、权限检查或 nonce 校验；upload_image() 例程会将远程获取的文件写入公开的 uploads 目录，并在验证文件类型之前使用攻击者可控的 basename() 生成文件名。

因此，未认证攻击者可以写入可执行的 PHP 文件并实现远程代码执行。 需要注意的是，完整攻击链中的令牌恢复环节依赖插件向 Payever 服务发起外部 validateToken() 调用；未认证情况下利用硬编码凭据覆盖身份（CWE-862/CWE-798）则可独立利用。

影响与风险

• 漏洞类型：Unauthenticated Arbitrary File Upload Leading to Remote Code Execution
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Supakiad S. (m3ez) – E-CQURITY (Thailand)

修复建议

1. 按官方建议执行修复：更新至 4.9.0 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• WordPress 插件源码文件（Trac）
• CVE 官方记录