Filter Everything插件曝CVE-2026-116390：PHP对象注入CVSS 7.2，1.9.7及以下版本受影响且暂无官方补丁

2026年11月3日 · 独立站技术动态

WordPress官方支持论坛安全通告确认：Filter Everything – WordPress & WooCommerce Filters插件1.9.7及以下版本存在PHP对象注入漏洞，编号CVE-2026-116390，CVSS评分7.2。据Patchstack披露，该漏洞目前暂无官方安全补丁，使用中的站点需立即采取缓解措施。

漏洞性质

PHP对象注入（PHP Object Injection）通常经由未充分净化的输入触发反序列化。当站点同时存在可利用的POP链（常见于其他插件或主题）时，可能被升级为任意文件删除、数据窃取甚至代码执行。该插件主要用于商品筛选，恰好是WooCommerce店铺的高频组件。

无补丁期怎么处置

1. 流量小、筛选非刚需的店铺：直接停用并删除插件；
2. 必须使用筛选功能的店铺：在WAF（如Patchstack、Wordfence、Cloudflare规则）启用虚拟补丁，并限制后台访问IP；
3. 排查同站点其他插件是否引入已知POP链，降低叠加风险；
4. 订阅插件更新提醒，补丁发布后第一时间升级并复测筛选页。

另讯：Product Filter for WooCommerce by WBW 3.4.6及以下版本10月31日披露漏洞（CVE-2026-11396），使用同类筛选插件的店铺一并自查。

信息来源

• WordPress.org支持论坛：Filter Everything安全通告
• Vulnerability-Lookup：Product Filter for WooCommerce by WBW漏洞检索

延伸阅读：星火跨境博客 · 跨境电商每日资讯