CVE-2026-0911

总结

The Hustle – Email Marketing、Lead Generation、Optins、Popups 插件（WordPress）在 7.8.9.2 及之前的所有版本中，由于 `action_import_module()` 函数对文件类型验证不正确，存在任意文件上传漏洞。这使得经过身份验证的攻击者（具有较低权限角色，例如订阅者级别及以上的访问权限）能够在受影响站点的服务器上上传任意文件，从而可能实现远程代码执行。成功利用该漏洞需要管理员向低权限用户授予 Hustle 模块权限（或模块编辑权限），以便他们能够访问 Hustle 管理页面并获取所需的 nonce。

• CVE-2026-0911PoC

  经过身份验证的 CVE-2026-0911 PoC：测试 WordPress Hustle 插件模块导入端点中的弱文件上传和孤立文件行为，支持多目标扫描和载荷自定义。