漏洞速览
- 漏洞编号：
CVE-2026-15896 - 风险评分：
9.1（严重） - 首次披露：2026-10-01
- 最近更新：2026-10-01
- 软件类型：插件
- 软件标识：
super-forms - 受影响版本：<= 6.3.316
- 修复版本：6.3.317
- 是否已修复：是
漏洞详情
WordPress 插件 Super Forms – Drag & Drop Form Builder 在所有版本（包括 6.3.316）中均存在目录遍历漏洞，攻击者通过 parse_request 函数即可利用。该漏洞允许未认证攻击者读取服务器上任意文件的内容，可能泄露敏感信息。可选的 “file_upload_auth” 设置默认空，在默认配置下无需认证即可利用；开启此设置可以阻止未认证利用，但并不能根治路径遍历本身。在 Linux 上利用需要服务器上存在真实的 13 位时间戳目录，而 Windows 则可以使用任意 13 位数字前缀进行遍历。由于插件在文件上传响应中返回创建的目录名称，只要表单启用了文件上传功能，该漏洞即可被利用。
影响与风险
- 漏洞类型：Unauthenticated Path Traversal to Arbitrary File Read via 'sfgtfi' URL Path Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：afei
修复建议
- 按官方建议执行修复：更新至 6.3.317 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
