🔴 《严重安全漏洞：CVE-2026-59543》

CVSS 评分: 严重（9.9）　　状态: Received　　发布时间: 2026-07-23

漏洞简介

该漏洞（CVE-2026-59543）存在于 WordPress 插件 Advanced Views（高级视图）版本 3.8.11 及以下 中。漏洞类型属于 代码注入（CWE-94），具体表现为 远程代码执行（Remote Code Execution, RCE）。

攻击者可以利用该漏洞，在拥有 订阅者（Subscriber） 权限的情况下，通过构造恶意请求，在目标服务器上执行任意 PHP 代码。这意味着即使是最低权限的用户账户，也可能被用于完全控制受影响的 WordPress 站点。

影响范围

  • 受影响软件：WordPress 插件 Advanced Views（高级视图）
  • 受影响版本：3.8.11 及以下所有版本
  • 利用条件：攻击者需要拥有 WordPress 站点的订阅者（Subscriber）级别账户（即最低权限用户）

风险分析

根据 CVSS 3.1 评分向量（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H），该漏洞具有以下风险特征：

  • 攻击途径（AV:N）：通过网络远程发起攻击，无需物理接触目标服务器。
  • 攻击复杂度（AC:L）：攻击复杂度低，无需特殊条件或复杂步骤即可利用。
  • 权限要求（PR:L）：攻击者仅需最低级别的订阅者（Subscriber）权限，而非管理员权限。
  • 用户交互（UI:N）：无需受害者用户进行任何点击或操作，攻击可完全自动化。
  • 影响范围（S:C）：漏洞影响范围发生改变（Changed），即攻击者可以利用插件漏洞突破 WordPress 自身的权限限制，影响整个服务器环境。
  • 机密性、完整性、可用性（C:H/I:H/A:H）：三者均为高影响。攻击者可以：
    • 读取服务器上的任意敏感文件（如数据库配置、用户密码哈希等）；
    • 修改或删除网站文件与数据；
    • 植入后门、挖矿程序或用于发起对其他系统的攻击；
    • 完全控制 WordPress 站点及底层服务器。

综合风险等级：严重（Critical）。由于利用门槛极低（仅需订阅者权限且无需用户交互），该漏洞极易被大规模自动化扫描和利用，可能导致大量网站被攻陷。建议所有使用 Advanced Views 插件的用户立即升级至 3.8.11 以上版本。

🔍 技术细节

字段 值
CVE ID CVE-2026-59543
CVSS 评分 9.9 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE 分类 CWE-94
发布时间 2026-07-23
最后更新 2026-07-23
状态 Received
数据来源 audit@patchstack.com

🔗 参考链接