Cost Calculator Builder PRO 插件超危漏洞预警（CVE-2026-14900）

漏洞速览

• 漏洞编号：CVE-2026-14900
• 风险评分：9.8（严重）
• 首次披露：2026-07-28
• 最近更新：2026-07-29
• 软件类型：插件
• 软件标识：cost-calculator-builder-pro
• 受影响版本：<= 4.0.3
• 修复版本：4.0.4
• 是否已修复：是

漏洞详情

WordPress的Cost Calculator Builder PRO插件在最高至4.0.3的所有版本中，通过jstophp函数存在远程代码执行漏洞。该漏洞的根本原因是对orderDetails[*].originalValue字段的净化不足，该字段被原封不动地插入到计算器公式字符串中，随后在jstophp()内部传递给PHP的eval()执行，而evaluateFormula()中的正则白名单仅过滤字母数字标记，保留非单词标点符号，这使得未授权的攻击者能够在服务器上执行任意代码。唯一的安全防护是nonce检查，但该nonce会通过wp_head钩子在每个前端页面公开泄露，任何未认证访问者均可轻易获取。要绕过净化措施，攻击载荷必须使用非单词的XOR工具。

影响与风险

• 漏洞类型：Unauthenticated Remote Code Execution via ‘orderDetails’ Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Nox Axter

修复建议

1. 按官方建议执行修复：更新至 4.0.4 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录
• CVE 官方记录