Admin and Site Enhancements (ASE) Pro 插件超危漏洞预警（CVE-2026-16610）

漏洞速览

• 漏洞编号：CVE-2026-16610
• 风险评分：9.8（严重）
• 首次披露：2026-07-29
• 最近更新：2026-07-30
• 软件类型：插件
• 软件标识：admin-site-enhancements-pro
• 受影响版本：<= 8.9.0
• 修复版本：8.9.1
• 是否已修复：是

漏洞详情

WordPress 的 Admin and Site Enhancements (ASE) Pro 插件在 8.9.0 及之前的所有版本中，由于 recursivehtml 函数存在漏洞，可被远程代码执行。 漏洞原因在于前端保存处理器仅依赖公开的 nonce，未进行身份验证检查；CAPTCHA 验证可通过省略攻击者提供的键值绕过；cfgroup[input] 中的 repeater 行键直接被保存，并在 recursivehtml 中被拼接进 eval() 调用，缺少任何消毒或标识符校验。

上述因素使得未认证的攻击者能够在服务器上执行代码。 要触发该漏洞，需要在至少一个公开可访问的页面中放置 短代码，因为该短代码会向未登录访问者输出用于访问漏洞保存处理器的 nonce 与会话 ID。

影响与风险

• 漏洞类型：Unauthenticated Remote Code Execution via PHP Code Injection via cfgroup[input] Repeater Row Key
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Nox Axter

修复建议

1. 按官方建议执行修复：更新至 8.9.1 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录
• CVE 官方记录