10 月 30 日前后公开的三个 WordPress 插件漏洞都不在主功能上：一个出在导入导出的 CSV 转义，一个出在文件删除接口，一个出在缓存目录。
10 月 30 日前后公开的三个 WordPress 插件漏洞，主功能都没问题，出问题的全是平时没人看的边角：用户导入导出、附件删除、对象缓存。其中一个能让订阅者级别的账号直接变成管理员。
配图：ZKUI 编辑部
一、导出导入的转义不一致，订阅者能造管理员
CVE-2026-104368，影响 Export and Import Users and Customers 2.7.5 及以下，CVSS 8.8。原因非常「工程味」：导出时用 fputcsv 写单元格，PHP 默认的反斜杠转义；导入时用 fgetcsv 读，转义字符却是双引号。两边说不到一起，于是一个订阅者在「个人简介」里塞进「反斜杠 + 引号 + 换行」，导出再导入时就会被解析成两行，多出来的那一行被当成新用户记录，用户名、密码、邮箱、角色全由攻击者填。
危害在于门槛：不需要管理员，订阅者就够。站点只要开了注册，攻击者先注册一个最低权限账号，剩下的交给插件的导入功能。
二、删附件不校验路径，等于能删 wp-config.php
CVE-2026-103882，影响 Acadlix LMS 1.1.9 及以下，CVSS 9.1。插件处理「删除测评附件」的函数没有充分校验文件路径，订阅者以上就能删服务器上的任意文件。删掉 wp-config.php 会触发 WordPress 的重装流程，攻击者顺势接管数据库；删掉别的文件也能造成整站不可用。更麻烦的是这个接口的权限校验依赖一个前端公开的 nonce，实际上等于匿名可调。
三、缓存文件可预测，用户哈希密码被读走
CVE-2026-90960，影响 Seraphinite Accelerator 2.29.24 及以下，CVSS 5.3。开了对象缓存功能之后，用户记录会被 gzip 序列化写到缓存目录，文件名可以推算出来。未登录的访客只要先触发一次缓存，再去猜文件名，就能把用户的登录名、邮箱和密码哈希拿到手。
怎么自查
- 用户列表里有没有角色是管理员、但注册时间很新、邮箱域名陌生的账号。
- wp-content/uploads 及缓存目录里有没有 .php 文件，正常上传目录不该执行 PHP。
- 站点根目录的 wp-config.php 是否还在，文件修改时间有没有异常。
- 后台最近有没有不认识的插件安装记录或定时任务。
怎么处置
三个插件各自有修复版本，先升。升完还要做三件收尾：撤销所有用户会话、强制管理员改密码、把缓存目录清一遍。如果站点开了用户注册又装了导出导入类插件，建议直接把「导入」功能关掉——这个功能一年用不了几次，风险却是常驻的。
对站长的实际影响
这三个洞的共同点值得记住：WordPress 插件的攻击面，往往不在它宣传的功能里，而在它「顺手加的一个后台小工具」上。选插件时除了看功能，可以多问一句：它有没有导入导出、有没有删除文件的接口、有没有把数据写到可公开访问的目录。这三个问题答不上来的插件，装之前先想想要不要。
本文根据公开报道整理，主要参考：Tenable、HOL 安全公告、Wordfence 漏洞库（2026-10-30 至 10-31）。
