CVE-2026-108587

总结

WordPress 插件 10Web Booster – Website speed optimization, Cache & Page Speed optimizer 在所有版本（包括 2.34.10）中均存在任意文件上传漏洞，攻击路径为 compressCustom 函数。该漏洞源于对 page_id 参数缺少文件类型验证和扩展名过滤，同时存在一个全局可读的泄露 nonce，可绕过身份验证检查。这使得未认证攻击者能够上传可能可执行的文件，从而实现远程代码执行。该利用链需要获取插件的 REST nonce（tenwebio_rest），每当批量优化批次暂停时，该 nonce 会被自动序列化到 wp-content/uploads/ 下的一个全局可读文件中；由于该 nonce 是在 cron/回环上下文中以用户 ID 0 生成的，因此对未认证访问者有效。

来源

• 1day-archive研究

  对最近披露的 CVE 进行技术深度剖析和根本原因分析——逆向工程补丁、构建概念验证（PoC），并在 1 天窗口期内记录利用技术。