CVE-2026-14282

总结

# GoDAM – 组织WordPress媒体库与文件管理器，支持无限文件夹存放图片、视频等插件漏洞 GoDAM – 组织WordPress媒体库与文件管理器，支持无限文件夹存放图片、视频等插件（WordPress插件）在1.12.2及更早版本中存在任意文件上传漏洞。该漏洞源于`save_video_file()`函数中的文件类型验证不足，该函数挂接在WPForms的公共`wpforms_process_before_filter`钩子上，信任攻击者提供的multipart Content-Type头，通过`wp_unique_filename()`保留原始文件名，并使用`$wp_filesystem->move()`将原始上传文件移动到Web可访问目录中——从而绕过了`wp_handle_upload()`的MIME/扩展名白名单。这使得未经身份验证的攻击者能够在受影响站点的服务器上上传任意文件，进而可能实现远程代码执行。

• CVE-2026-14282PoC

  GoDAM WordPress 插件 <= 1.12.2 未认证文件上传 RCE（CVE-2026-14282）