2025年3月2日，據(jù)網(wǎng)絡(luò)安全機構(gòu)Wordfence披露，知名WordPress第三方表單插件Everest Forms存在一個嚴重安全漏洞（CVE-2025-1128），攻擊者可利用該漏洞繞過文件驗證機制，向目標網(wǎng)站上傳惡意文件并遠程執(zhí)行任意代碼，最終完全控制服務(wù)器。目前，全球約10萬家使用該插件的網(wǎng)站面臨威脅。

漏洞詳情與風(fēng)險等級

該漏洞的CVSS風(fēng)險評分高達9.8分（滿分10分），屬于“嚴重”級別，影響所有3.0.9.5版本之前的Everest Forms插件。安全研究人員Arkadiusz Hydzik發(fā)現(xiàn)此漏洞后向Wordfence提交報告，并因此獲得**4290美元（約合31274元人民幣）**的漏洞獎勵。

技術(shù)成因與攻擊路徑

根據(jù)Wordfence漏洞研究員István Márton的分析，漏洞源于插件中EVF_Form_Fields_Upload類的設(shè)計缺陷。該類未對用戶上傳文件的類型、路徑及后綴名進行有效驗證，導(dǎo)致攻擊者可通過以下步驟實施攻擊：

1. 惡意文件偽裝：將包含PHP代碼的CSV或TXT文件重命名為PHP擴展名；
2. 繞過驗證上傳：利用插件的文件上傳功能將偽裝文件傳輸至服務(wù)器；
3. 公開訪問目錄存儲：WordPress自動將文件移至公開可訪問的上傳目錄；
4. 遠程代碼執(zhí)行：攻擊者直接觸發(fā)惡意PHP文件，在服務(wù)器上執(zhí)行任意指令。

更危險的是，攻擊者還可通過此漏洞讀取或刪除網(wǎng)站數(shù)據(jù)，例如篡改關(guān)鍵配置文件wp-config.php，從而徹底控制網(wǎng)站。

修復(fù)與應(yīng)對措施

目前，Everest Forms開發(fā)者已緊急發(fā)布3.0.9.5版本補丁修復(fù)漏洞。Wordfence建議所有用戶立即更新插件至最新版本，并檢查服務(wù)器日志中是否存在異常文件上傳記錄。

總結(jié)

此次漏洞事件再次凸顯第三方插件對網(wǎng)站安全的重大影響。對于依賴WordPress的企業(yè)和個人站長，需建立定期更新機制，并優(yōu)先選擇經(jīng)過嚴格安全審計的插件，以降低被攻擊風(fēng)險。