WordPress Simple Coherent Form 插件 CVE-2026-14487 未认证任意文件删除漏洞

漏洞概述 漏洞名称: Simple Coherent Form <= 2.4.13 - Unauthenticated Arbitrary File Deletion via 'id' Parameter CVE编号: CVE-2026-14487 CVSS评分: 9.1 (Critical) 发布日期: 2026年7月7日 最后更新日期: 2026年7月8日 研究人员: CHOIGYEONGMIN 影响范围 软件类型: Plugin 软件名称: Simple Coherent Form 受影响版本: <= 2.4.13 修复方案 补丁状态: 无已知补丁 建议措施: 请根据组织风险容忍度审查漏洞详情并采取缓解措施，可能需要卸载受影响的软件并寻找替代方案。 漏洞描述 Simple Coherent Form插件在WordPress中存在任意文件删除漏洞，原因是 函数中的文件路径验证不足。这使得未经身份验证的攻击者可以删除服务器上的任意文件，从而导致远程代码执行（如果文件是 ）。 端点自由处理有效的 文件，删除对任何未经身份验证的访问者的文件，并且删除端点的二次哈希检查是伪造的，因为它依赖于插件源中嵌入的硬编码盐，这意味着控制不呈现真正的授权边界。 参考链接 plugins.trac.wordpress.org 其他信息 API文档: Wordfence Intelligence API Documentation Webhook文档: Wordfence Intelligence Webhook Documentation 版权信息 版权: 2012-2026 Defiant Inc. MITRE Corporation: 1999-2026 联系方式 技术支持: 9am-8pm ET, 6am-5pm PT 和 2pm-1am UTC/GMT（不包括周末和节假日） 响应时间: 24小时支持，全年无休，1小时响应时间 社交媒体 Facebook: Wordfence Twitter: Wordfence LinkedIn: Wordfence Instagram: Wordfence 订阅 订阅链接: Wordfence Intelligence 免责声明 免责声明: 本页面内容仅供参考，不构成任何法律或技术建议。 总结 该漏洞允许未经身份验证的攻击者通过 参数删除任意文件，可能导致远程代码执行。建议尽快更新或卸载受影响的插件，并参考官方文档获取更多缓解措施。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

WordPress Simple Coherent Form 插件 CVE-2026-14487 未认证任意文件删除漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

WordPress Simple Coherent Form 插件 CVE-2026-14487 未认证任意文件删除漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！