代码审计全版本 WordPress 严重漏洞需要管理员点击：当 CVSS 分数遇上社会工程
CVE-2026-64638 技术上未认证且已有 PoC，但利用链最后一环是诱导管理员点击——代码审计中如何权衡利用条件与分数。
文章列表
共 4 篇 · 查看时间轴
代码审计
PHPAll-in-One WP Migration 二阶 SQL 注入：325 万站点未打补丁，武器化 PoC 已在流传
CVE-2026-19949 通过 trackback 植入休眠 payload、管理员备份操作触发执行，二阶注入让 WAF 结构性失效，可致完整站点接管。
PHPWordPress 7.1.2 紧急修复 CVE-2026-87902：未认证路径遍历可致 RCE，补丁发布 5 小时内即遭探测
影响自 4.7 起所有版本的模板路径遍历漏洞获修复，无需任何凭据或用户交互，Patchstack 称其为 WordPress 近期修复的最严重问题。
PHPTutor LMS 插件 PHP 对象注入漏洞暴露超 10 万站点，可致远程代码执行
Wordfence Argus 在 Tutor LMS 中发现 PHP 对象注入漏洞，10 万+ 站点暴露于 RCE 风险，反序列化类漏洞在 WordPress 生态持续增长。