Wordfence 公布 2026 年 7 月漏洞悬赏报告及 WordPress 核心远程代码执行链
Wordfence Bug Bounty Program Monthly Report – July 2026
Wordfence 在 2026 年 7 月收到 1077 份漏洞提交，其中 243 份在范围内，并发放 $51,183 悬赏。报告指出 WordPress Core 6.9 至 7.0.1 存在可经 REST API 批量请求端点触发的远程代码执行风险，WordPress 已于 July 17, 2026 发布 6.8.6、6.9.5 和 7.0.2 安全更新。
报告汇总了漏洞提交、奖励和研究者数据，并披露核心远程代码执行链及受影响插件版本，便于评估修复优先级。
2026 年 7 月，Wordfence Bug Bounty Program 收到了我们不断壮大的安全研究人员社区提交的 1077 个漏洞，这些研究人员致力于提升 WordPress 生态系统的整体安全状况。这些提交由 Wordfence Threat Intelligence 团队审查、分类和处理；经验证的漏洞会以负责任的方式披露给厂商，通常通过 Wordfence Vulnerability Management Portal——一项面向所有 WordPress 厂商的免费服务——进行披露，并在适用情况下通过 Wordfence Firewall 提供保护。
我们开展 Wordfence Bug Bounty Program 的使命，是动员更广泛的安全社区识别并负责任地披露 WordPress 插件和主题中的漏洞，从而与厂商合作，在攻击者发现漏洞之前完成修复。这项协作努力使 Wordfence 能够加速补丁采用，为数百万网站提供早期保护，并确保高质量的漏洞情报能够尽可能高效地传达至 WordPress 生态系统。它还确保我们能够在攻击者发现漏洞并开始利用之前完成修复。正因如此，我们会对有效提交给予奖励，并始终致力于以透明、准确和紧迫的方式处理每一份报告。
加入 Wordfence Bug Bounty Program
在开展安全研究并获得奖励的同时，帮助保护 WordPress 生态系统。
我们正在积极寻找技术娴熟的研究人员，以识别 WordPress 插件和主题中的漏洞；付款及时，流程透明。
开启你的安全研究之旅
作为最全面、质量最高的 WordPress 漏洞项目，Wordfence Bug Bounty Program 在帮助网站所有者、开发者和托管服务提供商于开源生命周期的各个阶段应对新出现的威胁方面发挥着关键作用。
在本报告中，我们重点介绍 Bug Bounty Program 截至 2026 年 7 月的关键指标，表彰为 WordPress 安全作出贡献的研究人员，并深入解读已发现和已处理的漏洞。
| 目录 |
|---|
 项目提交亮点 – 2026 年 7 月 |
| WordPress 软件漏洞提交洞察 – 2026 年 7 月 |
 赏金洞察 – 2026 年 7 月 |
 顶级 WordPress 安全研究人员 – 2026 年 7 月 |
 当前 Wordfence Bug Bounty Program 促销 |
 WordPress 软件严重漏洞亮点 – 2026 年 7 月 |
 结论 |
如果你有意加入该项目，或想进一步了解我们如何负责任地管理漏洞披露并保护 WordPress 用户，请访问 Bug Bounty Program 页面。
WordPress 软件厂商 – 免费注册，集中管理贵软件中的所有漏洞
Wordfence 为 WordPress 软件厂商提供完全免费的漏洞管理门户，方便他们轻松跟踪和管理提交至 Wordfence Bug Bounty Program、并已添加至 Wordfence Intelligence Vulnerability Database 的所有漏洞。
该门户简化并提升了负责任的漏洞披露流程，让你能够更快地保护客户。
立即开始使用厂商门户
项目提交亮点 – 2026 年 7 月
Wordfence 漏洞赏金计划旨在提供动力：快速分诊关键问题、清晰反馈以及快速而公平的奖励。每份提交都会经过我们的标准化工作流程，包括验证、厂商协调、补丁验证以及适用时的防火墙覆盖，因此研究能够迅速转化为现实世界中的保护。
实时保护影响
通过此计划披露的每项漏洞，都是一个你不必在毫无防备的情况下面对的威胁。我们的研究人员会在漏洞被利用之前发现并报告它们，Wordfence Premium、Care 和 Response 用户可通过我们的防火墙获得实时保护。免费用户将在 30 天后获得保护。
数字背后，是对网站所有者具有意义的实际影响。这里发现的问题会推动新的防火墙规则制定、强化我们的检测逻辑，并帮助厂商发布更安全的版本。如果你是漏洞赏金搜索的新手，这是一个很好的起点：我们会明确公布范围、及时支付奖励，并认可那些维护 WordPress 安全的工作。
提交总数
1077
较上月增长 +1.0%
活跃研究人员
281
较上月下降 -8.2%
高威胁
84
较上月增长 +44.8%
常见且危险
73
较上月增长 +62.2%
已发布的 WAF 规则
15
较上月增长 +114.3%
漏洞重点领域
- 高威胁漏洞：可能导致网站被完全攻陷的问题，例如任意文件上传或远程代码执行。必须可由未经身份验证或仅具备低权限身份验证的攻击者利用，且相关软件须有 25+ 个活跃安装量。
- 常见且危险：存储型跨站脚本和 SQL 注入漏洞，可由未经身份验证或仅具备低权限身份验证的攻击者利用。相关软件须有 500+ 个活跃安装量。
赏金洞察 – 2026 年 7 月
我们的研究为社区带来真实投资。本部分汇总当月支付的赏金和奖金，并展示杰出发现。我们的理念很简单：奖励高质量、负责任披露并能切实降低 WordPress 用户风险的研究。
授予的赏金总额
$51,183
2026 年 7 月
每次提交的平均赏金
$210.63
按经验证且在范围内的每次提交计算
单笔最高赏金
$15,600
研究人员最高奖励
授予赏金前 5 名
| 漏洞 | 赏金 | 安装量 |
|---|---|---|
| Elementor Pro <= 4.2.1 – 通过上传字段数组验证绕过实现未经身份验证的任意文件上传 | $15,600.00 | 5,000,000 |
| Forminator Forms <= 1.56.1 – 通过伪造上传字段配置实现未经身份验证的任意文件上传 | $2,048.00 | 600,000 |
| User Profile Builder <= 3.16.4 – 通过类型混淆实现未经身份验证的身份验证绕过，并利用‘username’参数接管管理员账户 | $975.00 | 40,000 |
| Independent Analytics <= 2.15.0 – 未经身份验证的存储型跨站脚本 | $804.00 | 100,000 |
| Unlimited Elements For Elementor <= 2.0.16 – 未经身份验证的 SQL 注入 | $800.00 | 300,000 |
想获得更多奖励？请仔细阅读范围、瞄准高威胁类别，并附上清晰的复现步骤及影响证明。对于经验证的问题，我们会及时支付赏金；在限时促销和挑战期间，还可能适用奖金倍数。
WordPress 软件漏洞提交洞察 – 2026 年 7 月
本节将介绍报告如何对应我们的计划成果、哪些内容属于范围之内、哪些不属于，以及最高安全影响通常位于何处。我们将重点说明最常见的范围内漏洞类别，以及带来最高奖励的类别，帮助研究人员将精力集中在最重要的领域。
认证级别和漏洞利用前提条件通过我们的计划直接影响风险与奖励。未经认证和低权限攻击路径往往会带来超乎寻常的影响，因为它们可扩展至更多现实入侵场景。请利用这些洞察确定测试策略的优先级，最大化安全价值和赏金潜力。
纳入范围、被排除、驳回或重复的漏洞总数
| 范围内 | 范围外 | 已驳回 | 重复 |
|---|---|---|---|
| 243 | 17 | 610 | 207 |
提交量最高的 10 类范围内漏洞类型
提交最频繁的漏洞类型反映了研究社区当前的测试重点。这些模式通常既体现漏洞易于发现的特点，也反映其在 WordPress 生态系统中的普遍程度。
| 漏洞类型 | 提交总数 | 奖励总额 | 平均奖励 |
|---|---|---|---|
| CWE 79：生成网页时未正确中和输入 | 80 | $13,415.00 | $167.69 |
| CWE 434：允许上传具有危险类型的文件 | 18 | $21,909.00 | $1,217.17 |
| CWE 89：SQL 命令中使用的特殊元素未正确中和 | 18 | $2,968.00 | $164.89 |
| CWE 269：权限管理不当 | 16 | $3,245.00 | $202.81 |
| CWE 22：将路径名限制在受限目录时不当 | 10 | $2,825.00 | $282.50 |
| CWE 287：身份认证不当 | 11 | $1,213.00 | $110.27 |
| CWE 639：通过用户可控密钥绕过授权 | 9 | $816.00 | $90.67 |
| CWE 862：缺少授权 | 9 | $724.00 | $80.44 |
| CWE 94：代码生成控制不当 | 3 | $121.00 | $40.33 |
| CWE 288：使用替代路径或通道绕过身份认证 | 2 | $277.00 | $138.50 |
奖励最高的 10 类范围内漏洞类型
有些漏洞出现频率很高，有些则能获得高额奖励。这一明细展示了哪些漏洞类别在这些类别的所有提交中产生了最高总奖金，体现出其严重程度和可利用性价值。
| 漏洞类型 | 奖励总额 | 提交总数 | 平均奖励 |
|---|---|---|---|
| CWE 434：允许上传具有危险类型的文件 | $21,909.00 | 18 | $1,217.17 |
| CWE 79：生成网页时未正确中和输入 | $13,415.00 | 80 | $167.69 |
| CWE 269：权限管理不当 | $3,245.00 | 16 | $202.81 |
| CWE 89：SQL 命令中使用的特殊元素未正确中和 | $2,968.00 | 18 | $164.89 |
| CWE 22：将路径名限制在受限目录时不当 | $2,825.00 | 10 | $282.50 |
| CWE 287：身份认证不当 | $1,213.00 | 11 | $110.27 |
| CWE 704：类型转换或强制转换不正确 | $975.00 | 1 | $975.00 |
| CWE 639：通过用户可控密钥绕过授权 | $816.00 | 9 | $90.67 |
| CWE 862：缺少授权 | $724.00 | 9 | $80.44 |
| CWE 502：反序列化不受信任的数据 | $615.00 | 1 | $615.00 |
按认证级别划分的范围内漏洞分布
认证要求会直接影响现实世界中的可利用性。未经认证和订阅者级别的漏洞通常风险更高，这一点也体现在我们的优先级排序和奖励结构中。
| 认证级别 | 漏洞总数 | 平均奖励 |
|---|---|---|
| 未经认证 | 163 | $350.84 |
| 订阅者 | 60 | $133.37 |
| 未经认证 – 需要 UI | 14 | $74.00 |
| 自定义 | 4 | $19.67 |
漏洞提交安装量分布
安装量有助于我们评估影响范围。更大的安装基数可能提升发现的优先级，并且通常与更高奖金相关；而规模较小但至关重要的生态系统，在可利用性和影响达到相应标准时仍然符合资格。
| 安装量范围 | 漏洞总数 | 平均 CVSS | 平均奖励 |
|---|---|---|---|
| 1,000–49,999 | 81 | 7.4 | $147.53 |
| 100,000–999,999 | 38 | 7.0 | $384.87 |
| 非仓库 | 31 | 9.0 | $871.60 |
| 0–499 | 23 | 9.2 | $24.64 |
| 500–999 | 20 | 7.6 | $57.05 |
| 50,000–99,999 | 17 | 7.1 | $134.54 |
| 1,000,000–4,999,999 | 1 | 7.2 | $672.00 |
WordPress 顶尖安全研究人员 – 2026 年 7 月
安全是一项团队运动，这份排行榜旨在表彰不断提升标准的人。我们根据有效且在范围内的提交、总体收益和平均严重性对贡献者进行认可，以展现通往卓越的不同路径。
按范围内提交数量评选的 Top 5 研究人员
数量领先者展现了针对不同目标持续发现漏洞的能力。这些研究人员擅长系统性测试，并保持较高的验证率。
| 研究人员 | 提交总数 | 平均奖励 |
|---|---|---|
| daroo | 19 | $574.26 |
| d.v4n_s3c | 10 | $281.30 |
| theviper17y | 9 | $67.89 |
| Supakiad S. (m3ez) | 8 | $294.38 |
| Jonah Burgess (CryptoCat) | 8 | $70.75 |
按范围内提交的平均 CVSS 评选的 Top 5 研究人员
质量胜于数量，这些研究人员持续发现高严重性漏洞。他们的平均 CVSS 分数体现了他们寻找关键安全漏洞的专业能力。
| 研究人员 | 平均 CVSS | 提交总数 | 平均奖励 |
|---|---|---|---|
| 0xd4rk5id3 | 9.8 | 2 | $33.00 |
| Talal Nasraddeen | 9.8 | 1 | $228.00 |
| Tin Pham (TF1T) | 9.8 | 1 | $488.00 |
| Adam Rayyan Aryasatya | 9.8 | 2 | $179.00 |
| t4g0 | 9.8 | 1 | $455.00 |
按获得的赏金总额评选的 Top 5 研究人员
这些最高收益者将数量与严重性相结合，通过策略性漏洞研究和全面报告，最大化了自己的影响和回报。
| 研究人员 | 获得总额 | 提交总数 | 平均奖励 |
|---|---|---|---|
| Austin Ginder | $15,810.00 | 3 | $5,270.00 |
| daroo | $10,911.00 | 19 | $574.26 |
| d.v4n_s3c | $2,813.00 | 10 | $281.30 |
| Supakiad S. (m3ez) | $2,355.00 | 8 | $294.38 |
| Adrien Brunner | $1,718.00 | 8 | $214.75 |
晋升至下一等级的研究人员
恭喜以下解锁下一等级的研究人员！等级晋升体现了他们在漏洞披露方面的持续表现、精准度和专业水平。晋级可解锁更高的赏金上限、更快的审核和更多的曝光度。如果你正在提升排名，请专注于高风险漏洞，保持报告简洁，附上可正常运行的 PoC，并提供供应商能够快速落实的缓解建议。
精英研究人员等级（1337）
0 名研究人员晋升至精英等级
无精英研究人员晋升
本月没有研究人员晋升至精英（1337）等级
资源丰富型研究人员等级
0 名研究人员晋升至资源丰富型等级
无资源丰富型研究人员晋升
本月没有研究人员晋升至资源丰富型等级
当前 WordPress 漏洞赏金计划促销活动
作为漏洞赏金计划的一部分，我们定期推出特别活动，以提高赏金奖励并扩大研究范围。这些举措旨在强化我们的使命：提供最高质量的漏洞情报，同时鼓励研究人员关注能够对 WordPress 生态系统产生最大积极影响的发现。
与此同时，我们也会寻找能够为研究人员提供机会的促销活动，帮助他们磨练技能、迎接新挑战，并成长为 WordPress 安全研究领域的顶尖人才。我们经常为这些活动补充教育材料，供研究人员在促销期间学习并运用技能。
以下是所有当前正在进行的挑战详情，包括时间安排和每项活动的简要概览。
当前没有正在进行的促销活动。
初次参与促销活动？先确认软件及版本范围是否在范围内，在干净的测试环境中验证可利用性，并提交清晰的复现步骤、受影响的代码路径和影响说明。促销活动是新入行和资深研究人员提高收益、推动补丁更快采用的绝佳机会。此外，请记得始终可以使用 Wordfence 赏金估算器查看哪些内容在范围内、哪些不在范围内。
关键 WordPress 软件漏洞亮点——2026 年 7 月
这些案例研究重点介绍通过该项目发现的高影响漏洞、它们的重要性，以及保护措施推出得有多快。我们分享技术细节，旨在帮助研究人员学习、帮助厂商加固代码，并帮助用户了解为什么及时更新并非可选项。
如果你维护网站，请更新至下列已修补版本，并确保启用 Wordfence，以便在新防火墙防护推出时从中受益。如果你是研究人员，可利用这些报告指导你的漏洞挖掘：模式往往会重复出现，过去导致漏洞的根本原因也常常会在相邻代码中再次出现。
WP2Shell WordPress 漏洞利用技术分析与真实攻击数据
WordPress Core 6.9 – 7.0.1 – 通过 REST API 批量请求路由混淆实现远程代码执行
发现者：
Adam Kues
授予的赏金：
不适用
技术细节：
WordPress Core 的所有 6.9 至 7.0.1 版本都存在通过 REST API 批量请求端点（/wp-json/batch/v1）远程执行代码的漏洞。这是由于路由与验证不同步，导致已通过验证的子请求可被分派至非预期回调，从而绕过 allow_batch 限制；攻击者可控参数以及目标路由的输入净化也会被绕过，因此可与 SQL 注入串联利用。这可能使攻击者能够在服务器上执行代码。
阅读完整的漏洞分析
Wordfence PRISM 在植入后两小时内发现被植入后门的 WordPress 插件
Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … 10.8.7 – 10.8.8 – 通过 '_wplogin' 参数中的硬编码后门绕过未认证身份验证
提交者：
Wordfence PRISM
授予的赏金：
不适用
技术细节：
用于 WordPress 的 Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … 插件，其 10.8.7 和 10.8.8 版本存在通过硬编码后门绕过身份验证的漏洞。该漏洞之所以存在，是因为 `_arve_uc_init()` 函数注册在 WordPress 的 `init` 钩子上，优先级为 1，因此会在每次请求的任何身份验证检查之前运行。该函数从 `_wplogin`（或 `_wpm`）参数读取攻击者提供的令牌，并将其与直接嵌入插件源代码中的硬编码 SHA-256 哈希进行比较，整个流程既不验证 nonce，也不检查权限，也不验证密码。由于这个静态哈希构成了一组可在插件源代码中公开获取的通用凭据，未认证攻击者可以提供已知令牌，冒充任意选定的现有管理员账户，从而完全控制受影响的 WordPress 网站。这很可能是攻击者获得开发者账户的提交权限后引入的。
阅读完整的漏洞分析
wp2shell 后续影响：近十年来首个严重的未认证 WordPress Core RCE 漏洞
近十年来首个严重的未认证 WordPress Core RCE 漏洞
提交者：
不适用
授予的赏金：
不适用
技术细节：
2026 年 7 月 17 日星期五，WordPress 安全团队发布了 WordPress 核心安全更新，修复了两个漏洞。将这两个漏洞串联起来可导致未经身份验证的远程代码执行。这一漏洞链如今通常被称为 wp2shell，由 Assetnote / Searchlight Cyber 的 Adam Kues 发现并报告。我们要感谢他的工作以及负责任的漏洞披露。
WordPress 于 7 月 17 日发布了修复漏洞的版本 6.8.6、6.9.5 和 7.0.2。WordPress 发布说明将此次更新描述为修复了一个严重级别和一个高危级别的安全问题，并表示鉴于问题的严重性，受影响版本已启用强制自动更新。
阅读完整的漏洞分析
结论
当研究人员、厂商、主机提供商和网站所有者齐心协力时，WordPress 才能蓬勃发展。通过资助高质量研究、协调负责任的漏洞披露以及大规模发布防火墙规则，Wordfence 将研究发现转化为对数百万个网站的保护。
如果你是研究人员，请加入该项目并提交你的下一份报告。如果你是网站所有者，请尽早并定期更新，同时运行 Wordfence，以领先于不断涌现的威胁。如果你是厂商，请注册漏洞管理门户，以便在软件中有新漏洞被报告时接收实时通知。我们携手让 WordPress 生态更加安全。
文章《Wordfence 漏洞赏金计划月报——2026 年 7 月》首发于 Wordfence。
来源：Wordfence 官方博客 · https://www.wordfence.com/blog/2026/10/wordfence-bug-bounty-program-monthly-report-july-2026/
部分链接为推广/关联链接。