🔴 《严重安全漏洞：CVE-2026-59525》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-23

漏洞简介

该漏洞（CVE-2026-59525）存在于 WordPress 的 Participants Database 插件中，版本 2.7.8.3 及以下。漏洞类型为 未认证的 SQL 注入（Unauthenticated SQL Injection），对应 CWE-89（SQL 注入）。攻击者无需任何身份认证即可利用该漏洞，通过构造恶意输入向数据库发送任意 SQL 查询语句。

影响范围

  • 受影响软件：WordPress 插件 Participants Database
  • 受影响版本：<= 2.7.8.3
  • 利用条件：无需认证（Unauthenticated），无需用户交互（UI:N），攻击复杂度低（AC:L）
  • 攻击向量：网络远程攻击（AV:N）

风险分析

根据 CVSS 3.1 评分向量（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L），该漏洞的严重性较高，具体风险如下：

  1. 机密性影响（高）：攻击者可以通过 SQL 注入直接读取数据库中的敏感数据，包括用户信息、密码哈希、配置数据等。由于 Participants Database 常用于存储参与者或注册用户数据，可能导致大量个人隐私信息泄露。
  2. 完整性影响（无）：该漏洞主要影响数据读取，不直接支持对数据库内容的修改（I:N），但结合其他攻击手法仍可能间接造成数据篡改。
  3. 可用性影响（低）：攻击者可能通过注入特定 SQL 语句（如大量查询或死锁操作）导致数据库负载异常，造成服务响应缓慢或短暂不可用（A:L）。
  4. 影响范围（已变更）：漏洞影响范围已超出原始组件（S:C），即攻击者可能通过数据库访问进一步影响 WordPress 站点其他部分或底层系统。

攻击后果总结：未认证的远程攻击者能够利用该漏洞窃取数据库中的全部敏感信息，对站点用户隐私和业务数据构成严重威胁。建议立即将 Participants Database 插件升级至 2.7.8.3 以上版本，并检查数据库日志是否存在异常查询记录。

🔍 技术细节

字段 值
CVE ID CVE-2026-59525
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L
CWE 分类 CWE-89
发布时间 2026-07-23
最后更新 2026-07-23
状态 Received
数据来源 audit@patchstack.com

🔗 参考链接