CVE-2026-7654

总结

WordPress 的 Admin Columns 插件在 7.0.18 及更早版本中存在 PHP 对象注入漏洞，可导致远程代码执行。这是因为在 `IdsToCollection::get_ids_from_string()` 函数中使用了 `unserialize()`，且未通过 `allowed_classes` 进行限制，该函数在处理攻击者控制的文章元数据值时未进行适当验证。这使得具有贡献者级别及以上权限的已认证攻击者能够将序列化的 PHP 对象注入到文章的自定义元字段中，并通过利用捆绑的 POP 链触发任意代码执行，从而以 Web 服务器用户身份实现远程代码执行。

• CVE-2026-7654漏洞利用

  针对 CVE-2026-7654 的概念验证漏洞利用，目标是 Admin Columns WordPress 插件中的 PHP 对象注入，以实现远程代码执行。