ARTICLE · 1004741
WordPress插件漏洞:攻击者可利用SQL注入实现网站完全接管
WordPress插件漏洞:攻击者可利用SQL注入实现网站完全接管一款高危漏洞影响超过500万活跃WordPress站点，该漏洞允许未授权攻击者利用存储型SQL注入漏洞，实现远程代码执行，完全接管目标网站。
该漏洞编号为CVE‑2026‑19949，影响ServMask公司开发的热门插件All‑in‑One WP Migration and Backup。Wordfence为该漏洞给出CVSS评分8.8分（满分10），代表风险等级很高。
7.109及以下全部版本均受漏洞影响；开发者ServMask已于2026年8月20日发布7.110版本修复该缺陷。安全研究员杰克·泰勒通过Wordfence漏洞赏金计划负责任地发现并上报该漏洞，获得5761美元赏金。
WordPress插件漏洞详情
该漏洞属于未授权二阶SQL注入，出现在插件的归档备份恢复流程。普通SQL注入是提交恶意数据后立刻执行，而此漏洞允许攻击者将特制恶意输入存入WordPress数据库；之后等待管理员执行站点备份导出、再导入备份的操作，漏洞才会触发。
All‑in‑One WP Migration插件会把WordPress站点打包为专属 .wpress 归档文件，包含网站文件与数据库转储数据。恢复备份时，插件会修改SQL语句，替换源站点URL与数据库表前缀，再把数据导入目标环境。
Wordfence研究发现：当SQL引号前出现特定反斜杠转义序列时，插件处理SQL字符串边界的逻辑存在缺陷。
漏洞函数 replace_table_values() 依靠正则表达式识别带引号的SQL字符串。但该正则只会检查闭合引号紧邻的前一个字符，而不会完整解析前面一整串反斜杠序列。
该逻辑缺陷会让插件错误判定SQL字符串的结束位置仍处于转义状态，错误把匹配范围延伸到下一个字段值。
于是在后续的去转义、替换、重新转义处理过程中，攻击者可控的数据能够脱离原本字符串上下文，变成可执行的SQL语句。
攻击者可以利用公开文章的引用通告（trackback）功能写入恶意数据，该功能不需要WordPress账号身份认证。攻击者提交精心构造的博客名称、URL字段，这些内容就会被存入评论数据表。
此时恶意SQL并不会立刻执行；漏洞利用的前提条件是：恶意引用通告数据已经存入数据库后，管理员执行导出‑导入备份的整套操作。
备份恢复是迁移工具用户的常规运维操作，Wordfence提醒：不能把“需要管理员操作”当作安全防护手段。
完整攻击链可以窃取插件的 ai1wm_secret_key 密钥，该密钥用于保护插件无需认证的导入接口。
研究人员说明：攻击者可在备份恢复过程篡改数据库行，把密钥泄露到公开评论中。攻击者再通过WordPress公开的评论REST API读取泄露的密钥。
拿到密钥后，攻击者就可以调用插件无需认证的导入功能，上传特制迁移归档包，包内携带恶意强制启用插件（must‑use plugin）。
WordPress会自动加载强制插件，后续访问网页时，恶意代码就会以Web服务器进程权限运行。攻击者借此实现远程代码执行、部署Web后门、窃取数据、持久驻留，实现网站完全沦陷。
Wordfence在2026年8月16日已为高级版、Care、Response客户推送防火墙防护规则；免费版用户将在2026年9月15日获得对应防护规则。
网站管理员应立刻将All‑in‑One WP Migration and Backup插件升级至7.110或更高版本；核查站点引用通告配置，检查评论区可疑内容，复盘近期所有备份恢复操作记录。
该漏洞编号为CVE‑2026‑19949，影响ServMask公司开发的热门插件All‑in‑One WP Migration and Backup。Wordfence为该漏洞给出CVSS评分8.8分（满分10），代表风险等级很高。
7.109及以下全部版本均受漏洞影响；开发者ServMask已于2026年8月20日发布7.110版本修复该缺陷。安全研究员杰克·泰勒通过Wordfence漏洞赏金计划负责任地发现并上报该漏洞，获得5761美元赏金。
WordPress插件漏洞详情
该漏洞属于未授权二阶SQL注入，出现在插件的归档备份恢复流程。普通SQL注入是提交恶意数据后立刻执行，而此漏洞允许攻击者将特制恶意输入存入WordPress数据库；之后等待管理员执行站点备份导出、再导入备份的操作，漏洞才会触发。
All‑in‑One WP Migration插件会把WordPress站点打包为专属 .wpress 归档文件，包含网站文件与数据库转储数据。恢复备份时，插件会修改SQL语句，替换源站点URL与数据库表前缀，再把数据导入目标环境。
Wordfence研究发现：当SQL引号前出现特定反斜杠转义序列时，插件处理SQL字符串边界的逻辑存在缺陷。
漏洞函数 replace_table_values() 依靠正则表达式识别带引号的SQL字符串。但该正则只会检查闭合引号紧邻的前一个字符，而不会完整解析前面一整串反斜杠序列。
该逻辑缺陷会让插件错误判定SQL字符串的结束位置仍处于转义状态，错误把匹配范围延伸到下一个字段值。
于是在后续的去转义、替换、重新转义处理过程中，攻击者可控的数据能够脱离原本字符串上下文，变成可执行的SQL语句。
攻击者可以利用公开文章的引用通告（trackback）功能写入恶意数据，该功能不需要WordPress账号身份认证。攻击者提交精心构造的博客名称、URL字段，这些内容就会被存入评论数据表。
此时恶意SQL并不会立刻执行；漏洞利用的前提条件是：恶意引用通告数据已经存入数据库后，管理员执行导出‑导入备份的整套操作。
备份恢复是迁移工具用户的常规运维操作，Wordfence提醒：不能把“需要管理员操作”当作安全防护手段。
完整攻击链可以窃取插件的 ai1wm_secret_key 密钥，该密钥用于保护插件无需认证的导入接口。
研究人员说明：攻击者可在备份恢复过程篡改数据库行，把密钥泄露到公开评论中。攻击者再通过WordPress公开的评论REST API读取泄露的密钥。
拿到密钥后，攻击者就可以调用插件无需认证的导入功能，上传特制迁移归档包，包内携带恶意强制启用插件（must‑use plugin）。
WordPress会自动加载强制插件，后续访问网页时，恶意代码就会以Web服务器进程权限运行。攻击者借此实现远程代码执行、部署Web后门、窃取数据、持久驻留，实现网站完全沦陷。
Wordfence在2026年8月16日已为高级版、Care、Response客户推送防火墙防护规则；免费版用户将在2026年9月15日获得对应防护规则。
网站管理员应立刻将All‑in‑One WP Migration and Backup插件升级至7.110或更高版本；核查站点引用通告配置，检查评论区可疑内容，复盘近期所有备份恢复操作记录。