CVE-2026-14894

总结

WordPress 的 Super Forms – Drag & Drop Form Builder 插件在所有版本（最高至并包括 6.3.313）中，通过 submit_form 函数存在任意文件上传漏洞。这是由于缺少文件类型验证，且 submit_form nopriv AJAX 处理器上没有任何权限检查，其唯一屏障是会话 nonce，而未认证访客可通过单独的 nopriv 端点自由获取该 nonce。这使得未认证攻击者能够上传可能可执行的文件，进而可能实现远程代码执行。nonce 要求可被轻易绕过，因为 super_create_nonce nopriv AJAX 操作允许任何未认证访客在单个预先请求中生成有效的 sf_nonce 和会话 cookie，从而将利用过程简化为两个未认证的 HTTP 请求。

• CVE-2026-14894漏洞利用

  CVE-2026-14894 的漏洞利用程序，针对 WordPress Super Forms ≤ 6.3.313 中未经身份验证的文件上传至远程代码执行（RCE）漏洞。可上传 PHP 网页后门，并支持单目标或批量利用。

• CVE-2026-14894漏洞利用

  Super Forms 未认证文件上传 RCE | CVSS 9.8

• CVE-2026-14894漏洞利用

  多线程批量利用工具，串联Super Forms和Elementor Pro中未经身份验证的WordPress文件上传漏洞，以部署并验证PHP Web Shell。