🔴 《严重安全漏洞：CVE-2026-57707》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-13

漏洞简介

该漏洞（CVE-2026-57707）属于 SQL注入（SQL Injection） 类型，对应 CWE-89 分类。漏洞存在于 WordPress 插件 Simple Business Directory Pro（由 quantumcloud 开发）中。该插件在处理用户输入时，未能正确过滤或转义用于 SQL 命令的特殊元素，导致攻击者可以通过构造恶意输入，向数据库发送任意 SQL 语句。

受影响的版本为 Simple Business Directory Pro 15.9.4 及之前的所有版本（包括 15.9.4 本身）。根据 CVSS 3.1 评分，该漏洞的向量为 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L，表明攻击者无需身份验证（PR:N），无需用户交互（UI:N），即可通过网络远程利用（AV:N），攻击复杂度低（AC:L）。

影响范围

  • 软件名称：Simple Business Directory Pro（WordPress 插件）
  • 受影响版本：从 n/a（未知起始版本）到 15.9.4（含）
  • 漏洞类型：SQL 注入（CWE-89）
  • CVSS 评分：8.6（高危）
  • 攻击路径：远程网络攻击，无需认证

风险分析

  1. 机密性影响（高）：攻击者可以利用 SQL 注入漏洞读取数据库中的敏感数据，例如用户凭据、个人隐私信息、业务目录内容等。由于攻击无需认证，且影响范围可扩展至整个数据库（Scope: Changed），可能导致大量数据泄露。

  2. 完整性影响（无）：该漏洞的 CVSS 完整性评分为“无”（I:N），意味着攻击者无法直接修改数据库内容。但需注意，某些 SQL 注入技术（如堆叠查询）可能间接实现数据篡改，具体取决于数据库配置和插件实现。

  3. 可用性影响（低）：攻击者可能通过构造恶意 SQL 语句导致数据库服务崩溃或响应缓慢，从而影响网站正常功能，但可用性影响被评估为“低”（A:L）。

  4. 攻击后果：

    • 未授权访问后台数据，包括用户账户信息、业务列表、联系方式等。
    • 可能绕过身份验证机制，获取管理员权限（取决于数据库结构）。
    • 结合其他漏洞（如文件包含、命令执行）可进一步升级攻击，实现远程代码执行或网站完全控制。

建议：立即将 Simple Business Directory Pro 插件升级至 15.9.4 之后的修复版本，或暂时禁用该插件。同时，对数据库进行审计，检查是否存在异常查询记录。

🔍 技术细节

字段 值
CVE ID CVE-2026-57707
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L
CWE 分类 CWE-89
发布时间 2026-07-13
最后更新 2026-07-13
状态 Received
数据来源 audit@patchstack.com

🔗 参考链接