漏洞速览
- 漏洞编号：
CVE-2026-126537 - 风险评分：
9.1（严重） - 首次披露：2026-11-11
- 最近更新：2026-11-11
- 软件类型：插件
- 软件标识：
ninja-forms-uploads - 受影响版本：<= 3.3.36
- 修复版本：3.3.37
- 是否已修复：是
漏洞详情
WordPress 插件 Ninja Forms – File Uploads add-on 在 3.3.36 及更早版本中存在任意文件删除漏洞（还可通过 S3/Dropbox/Google Drive 数据外传实现任意文件读取）。
该漏洞涉及 includes/fields/upload.php 中的 NF_FU_Fields_Upload::process()：当公开提交请求包含非空的 extra.saveProgress 时，函数会提前返回，导致客户端提供的 files[] 参数原样保留；同时还涉及 includes/external/abstracts/service.php 中的 NF_FU_External_Abstracts_Service::process_upload()，该函数只有在客户端发送 upload_id 时，才会通过权威路径重新加载文件信息。
攻击者省略 upload_id 后，其提供的 data[file_path] 便会进入后台上传队列，并被 includes/external/abstracts/backgroundupload.php 中的 upload_file_to_s3()（作为 SourceFile）以及 maybe_delete_server_file() 的 unlink() 调用使用，且过程中没有进行规范化处理，也没有检查路径是否位于上传目录内（插件自带的 is_path_within_upload_dir() 辅助函数仅用于管理员路径）。
因此，未认证攻击者可以删除受影响网站服务器上的任意文件，并可能实现远程代码执行；具体而言，删除 wp-config.php 会迫使 WordPress 进入安装设置界面，从而实现对整个网站的接管。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Deletion via 'files[].data.file_path' Parameter via 'extra.saveProgress'
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：daroo
修复建议
- 按官方建议执行修复：更新至 3.3.37 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
评论0 注意：评论区不审核也不处理售后问题！如有售后问题请前往用户中心提交工单以详细说明!