🔴 《严重安全漏洞：CVE-2026-59518》

CVSS 评分: 严重（9.8）　　状态: Received　　发布时间: 2026-07-13

漏洞简介

该漏洞（CVE-2026-59518）存在于 WordPress 插件 Directorist（由 wpWax 开发）中，属于 不安全的反序列化（Deserialization of Untrusted Data） 漏洞，对应 CWE-502 分类。攻击者可以利用该漏洞，通过向插件传递恶意构造的序列化数据，触发 PHP 对象注入（Object Injection）。

具体来说，当插件在处理用户输入时，未对反序列化的数据来源进行充分验证和过滤，导致攻击者可以注入任意 PHP 对象。这种对象注入可能进一步被利用来执行任意代码、读取或修改敏感文件、获取数据库权限，甚至完全控制受影响的 WordPress 站点。

影响范围

  • 受影响软件：WordPress 插件 Directorist（由 wpWax 开发）
  • 受影响版本：从 n/a（未知早期版本）至 8.8.2 及以下版本（包括 8.8.2）
  • 不受影响版本：建议升级至 8.8.3 或更高版本（如果官方已发布修复）

风险分析

根据 CVSS 3.1 评分向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，该漏洞具有以下风险特征：

  • 攻击途径（AV:N）：远程网络攻击，无需物理接触目标系统。
  • 攻击复杂度（AC:L）：攻击难度低，无需特殊条件或复杂步骤。
  • 权限要求（PR:N）：无需任何身份验证或用户权限。
  • 用户交互（UI:N）：无需受害者进行任何点击或操作。
  • 影响范围（S:U）：漏洞仅影响被攻击的组件本身，不扩散至其他系统。
  • 机密性、完整性、可用性（C:H/I:H/A:H）：均达到最高严重等级，攻击者可完全读取、修改或破坏系统数据，甚至导致服务中断。

可能的攻击后果：

  1. 远程代码执行（RCE）：通过精心构造的反序列化负载，攻击者可在服务器上执行任意 PHP 代码，进而安装后门、窃取数据或发起进一步攻击。
  2. 权限提升：未认证的攻击者可能获得管理员级别的访问权限，控制整个 WordPress 站点。
  3. 数据泄露：攻击者可读取数据库中的用户信息、配置密钥、敏感文件等。
  4. 网站篡改：可修改网站内容、植入恶意脚本或重定向用户到钓鱼页面。

建议：所有使用 Directorist 插件且版本 ≤ 8.8.2 的 WordPress 站点应立即升级到最新修复版本，并检查服务器日志是否存在异常反序列化请求。

🔍 技术细节

字段 值
CVE ID CVE-2026-59518
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-502
发布时间 2026-07-13
最后更新 2026-07-13
状态 Received
数据来源 audit@patchstack.com

🔗 参考链接