2026年10月30日 · 独立站技术动态
WooCommerce生态本周再曝漏洞：WP Overnight出品的Menu Cart for WooCommerce插件存在未认证存储型XSS漏洞，编号CVE-2026-105972，10月26日披露，美国NVD于10月28日正式收录。该插件装机量超过7万，3.2.1以下版本全部受影响，攻击者无需登录即可向站点注入持久化恶意脚本。修复版本3.2.1已发布，黑五流量高峰前必须完成升级。
这个购物车图标插件为什么危险
Menu Cart的作用是在网站导航栏显示WooCommerce购物车图标和金额，属于典型的小工具型插件。本次漏洞为存储型XSS：攻击者提交的恶意脚本会被插件存入数据库，之后前台页面加载时自动执行。与反射型XSS需要诱骗点击不同，存储型意味着每个访问页面的用户都可能中招——包括正在后台审核订单的管理员。一旦管理员浏览器执行了攻击脚本，会话Cookie被窃，站点后台等于直接交出。旺季期间站点流量大、管理员登录频繁，正是这类漏洞变现的最佳窗口。
旺季前独立站漏洞密度在上升
把时间线拉长看，本周WordPress电商生态并不太平：WooCommerce核心插件11.1.0以下版本刚修复未认证DoS漏洞CVE-2026-48888，Ninja Forms与WPC Product Bundles的XSS漏洞遭在野利用并被植入多种后门，如今Menu Cart再补一刀。共性很明显：攻击者在黑五前集中扫描电商站点，因为这时候拿到店铺控制权的价值最高——改收款账户、注入盗卡脚本、挂马跳转，每一条都直接变现。中小卖家站点普遍缺少安全值守，是最容易被批量收割的一层。
卖家跟进出清单
- 后台检查Menu Cart for WooCommerce版本，低于3.2.1立即升级；
- 升级后检查页面源码与数据库option表，排查是否已被注入陌生script标签；
- 管理员账号开启两步验证，并复核近两周登录日志里的陌生IP；
- 用Wordfence或同类插件做一次全站扫描，确认无遗留后门再进旺季。
常见问题（FAQ）
我的站点没装WooCommerce，只装了Menu Cart，受影响吗？
Menu Cart for WooCommerce依赖WooCommerce运行，未装WooCommerce的站点该插件无法生效；但如果你装了同类菜单购物车插件，建议核对厂商与插件全名，避免混淆漏判。
升级到3.2.1就彻底安全了吗？
升级只能堵上这个漏洞的入口。如果站点在升级前已被注入恶意脚本，载荷仍留在数据库里，升级后需要配合恶意代码清理与管理员凭据重置才算闭环。
暂无评论内容