ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce 插件超危漏洞预警（CVE-2026-18080）

漏洞速览

• 漏洞编号：CVE-2026-18080
• 风险评分：9.8（严重）
• 首次披露：2026-08-25
• 最近更新：2026-08-25
• 软件类型：插件
• 软件标识：erp
• 受影响版本：<= 1.17.8
• 修复版本：1.17.9
• 是否已修复：是

漏洞详情

WordPress的ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce插件在1.17.8及之前的所有版本中，存在无限制文件类型上传漏洞。 该漏洞位于save_attachments()函数，原因是CRM邮件连接处理入站IMAP邮件附件时缺少文件扩展名校验和路径规范化。 攻击者可以在未认证的情况下，向站点配置的入站邮箱发送一封伪造References头、文件名类似../helper.php的邮件，使基于cron的IMAP同步任务将攻击者控制的PHP文件写入受.htaccess保护的crm-attachments目录之外的wp-content/uploads/目录。

若服务器在uploads目录中执行PHP，则可导致远程代码执行。 利用该漏洞需要启用并配置CRM模块和IMAP邮件连接功能。

影响与风险

• 漏洞类型：Unauthenticated Arbitrary File Upload via CRM Email Connect IMAP Attachment
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Talal Nasraddeen

修复建议

1. 按官方建议执行修复：更新至 1.17.9 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录