Wordfence Argus 发现 Duplicator 高危未认证 PHP 对象注入漏洞 CVE-2026-82814
Wordfence Threat Intelligence Team 发现 Duplicator 和 Duplicator Pro 存在高危未认证 PHP 对象注入漏洞 CVE-2026-82814，CVSS 3.1 评分为 8.8。
推荐理由：文章拆解了漏洞从匿名评论到管理员迁移触发的完整链路，并分别说明 Free 版命令执行与 Pro 版文件删除的利用条件及修复方式。
#插件开发
#插件开发
今日 0 条Wordfence 官方博客精选编辑评分9292
Wordfence 官方博客精选编辑评分8989 UpdraftCentral 连接密钥泄露，被用于在 WordPress 站点安装恶意插件
TeamUpdraft 的 teamupdraft.com 网站遭未授权访问，泄露的 UpdraftCentral 连接密钥被攻击者用于向关联站点上传、激活和删除恶意插件。
推荐理由：文章梳理了泄露连接密钥的利用路径、受影响范围、应急更新及逐站排查方法，可用于识别和处置 UpdraftCentral 相关入侵。
Wordfence 官方博客精选编辑评分7070 Wordfence 披露 2026 年 10 月 5 日至 11 日 654 个 WordPress 漏洞
Wordfence 披露 2026 年 10 月 5 日至 11 日新增的 654 个 WordPress 漏洞，涉及 405 个插件和 100 个主题，其中 369 个已修复、285 个尚未修复。
推荐理由：报告汇总了 654 个漏洞及受影响版本、修复状态和 CVE 编号，便于站点维护者核对插件与主题并安排升级。
Wordfence 官方博客精选编辑评分7878 Backuply 1.5.9 修复可导致 WordPress 站点接管的二阶 SQL 注入漏洞
Wordfence 披露 Backuply 1.5.8 及更早版本存在二阶 SQL 注入漏洞，受影响插件有超过 600,000 个活跃安装。订阅者及以上权限的攻击者可在个人简介中植入恶意 SQL，管理员随后恢复包含该内容的数据库备份时，漏洞会被触发并可最终取得站点控制权。
推荐理由：漏洞原理、触发条件、修复版本和防火墙规则时间线完整，便于站点管理员判断风险并安排升级。
Advanced Custom Fields 官方博客精选编辑评分7373 Advanced Custom Fields 6.8.10 发布安全更新
Advanced Custom Fields 6.8.10 现已发布，为 ACF 和 ACF PRO 修复多项安全问题，官方建议所有用户尽快升级。修复涉及 PDF 文件头校验、REST API 读取权限、预览数据权限校验、前端表单令牌过期与域名隔离、表单字段校验、OPTIONS 请求权限及 User 字段 AJAX nonce 验证。
推荐理由：更新日志逐项列出 PDF 上传、REST API 权限、前端表单令牌和字段校验等修复，可用于判断升级影响。
JetPack新闻精选编辑评分7676 Jetpack 16.1.3 修复 Import 功能严重安全漏洞
Jetpack 16.1.3 修复了自 12.0 起存在于 Import 功能的严重漏洞，目前没有该漏洞被利用的证据。导入文章元数据时未经限制反序列化数据，可让有导入权限的用户触发 PHP 对象构造并可能发动进一步攻击；同版本还加强了 Media API 的文章编辑权限检查，并清理 Reader 转发流程从 URL 取得的数据。
推荐理由：原文披露了 Jetpack 16.1.3 的严重漏洞成因、影响范围及 42 个安全版本，可用于核对站点版本与升级状态。
WordPress大学编辑评分5555 WordPress 如何安全移除 Feed 中的 wellformedweb.org/CommentAPI 恶意网址
WordPress Feed 输出中的 wellformedweb.org/CommentAPI 指向已被非法业务公司收购的过期域名，文章建议安装 Remove WFW CommentAPI Link 插件，或在主题的 functions.php 中添加代码移除相关输出。
WP Tavern编辑评分7272 WP Tavern 播客探讨 AI 揭露 WordPress 插件更新中的供应链威胁
WP Tavern 播客第 219 期邀请 Austin Ginder，探讨 AI 如何帮助发现 WordPress 插件更新中的恶意代码和供应链攻击。Ginder 介绍了插件被收购、仓库劫持及更新通道被篡改等风险，并推出用于记录和预警此类攻击的 WP Beacon Project。
WordPress大学精选编辑评分8080 All in One SEO 低于 4.9.3 的版本存在 REST API 端点漏洞
All in One SEO 4.9.3 修复了 REST API 端点缺少权限检查导致的漏洞，影响所有版本，包括 4.9.2 及更早版本。贡献者级别用户可能借此查看全局 AI 访问令牌，并滥用 AIOSEO AI 积分和 AI 功能生成内容或消耗积分。
推荐理由：文章说明了漏洞影响版本、权限检查缺失的成因及修复版本，便于站点管理员核对风险并安排升级。