🔴 《严重安全漏洞：CVE-2026-59538》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-27

漏洞简介

该漏洞存在于 WordPress 插件 GamiPress 的 7.9.7 及更早版本中。漏洞类型为 未认证的 SQL 注入（Unauthenticated SQL Injection），对应 CWE 分类为 CWE-89（SQL 注入）。攻击者无需任何身份认证即可利用此漏洞，通过构造恶意输入向数据库发送未经授权的 SQL 查询语句，从而窃取或篡改数据库中的敏感信息。

影响范围

  • 受影响软件：WordPress 插件 GamiPress
  • 受影响版本：版本号 ≤ 7.9.7（即 7.9.7 及之前的所有版本）
  • 利用条件：无需用户认证（Unauthenticated），攻击者可直接通过网络发起攻击

风险分析

根据 CVSS 3.1 评分向量（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L），该漏洞具有以下风险特征：

  • 攻击途径（AV:N）：远程网络攻击，无需物理接触目标系统。
  • 攻击复杂度（AC:L）：攻击难度低，无需特殊条件或复杂操作。
  • 权限要求（PR:N）：无需任何用户权限即可触发漏洞。
  • 用户交互（UI:N）：无需受害者进行任何点击或操作。
  • 影响范围（S:C）：漏洞利用可能影响超出原始组件范围的其他资源（如数据库服务器）。
  • 机密性影响（C:H）：攻击者可读取数据库中的全部敏感数据，包括用户密码、密钥、业务数据等，造成严重信息泄露。
  • 完整性影响（I:N）：攻击者无法直接修改数据库内容。
  • 可用性影响（A:L）：可能导致数据库服务部分不可用或响应异常，但影响程度较低。

可能的攻击后果：

  1. 数据泄露：攻击者可提取 WordPress 用户表（如 wp_users）中的用户名、密码哈希、电子邮件等敏感信息。
  2. 权限提升：通过获取管理员密码哈希，攻击者可能进一步破解密码并登录后台，完全控制网站。
  3. 横向渗透：若数据库与同一网络中的其他服务共享，攻击者可能利用该漏洞作为跳板，攻击其他内部系统。
  4. 服务降级：大量恶意 SQL 查询可能导致数据库负载过高，影响网站正常访问。

建议：立即将 GamiPress 插件升级至 7.9.7 之后的修复版本，并检查网站日志中是否存在可疑的 SQL 查询记录。

🔍 技术细节

字段 值
CVE ID CVE-2026-59538
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L
CWE 分类 CWE-89
发布时间 2026-07-27
最后更新 2026-07-27
状态 Received
数据来源 audit@patchstack.com

🔗 参考链接