11月首周WordPress漏洞三连：Wurdey认证绕过9.8分无补丁，Strong Testimonials与MapPress同周披露

2026年11月9日 · 独立站技术动态

11月6日至7日，三个WordPress插件漏洞集中披露：Wurdey插件1.0.0及以下版本存在未认证管理员认证绕过（CVE-2026-110955，CVSS 9.8，仅需知道管理员用户名即可登录后台，官方记录暂无修复方案）；Strong Testimonials 3.3.16及以下版本存在未认证存储型XSS（CVE-2026-115811，经star_rating参数注入）；MapPress 2.97.15以下版本可被未认证访客枚举用户ID、读取任意用户邮箱与显示名（CVE-2026-118168）。

三个漏洞分别怎么打

• Wurdey（CVE-2026-110955）：登录请求不校验签名，攻击者仅凭管理员用户名即可伪造登录，拿到站点完全控制权；EPSS虽低于1%，但可自动化利用，属“理论易打、影响全损”型；
• Strong Testimonials（CVE-2026-115811）：评价插件的star_rating参数可注入存储型XSS，前台留言即埋雷，管理员后台查看时触发；
• MapPress（CVE-2026-118168）：地图嵌入处理器不限制渲染对象，枚举用户ID即可拖出全站用户邮箱，为精准钓鱼供料。

独立站处置顺序

1. 全盘排查是否安装上述三个插件，装了Wurdey的直接停用删除，不要等补丁；
2. Strong Testimonials关注官方更新通道，升级前先用WAF拦截评价提交中的脚本特征；
3. MapPress用户尽快升级至2.97.15及以上，并检查近期是否有异常用户数据抓取日志；
4. 对照Filter Everything无补丁漏洞的处置方案，把“虚拟补丁+后台IP白名单”固化为旺季标配。

信息来源

• OpenCVE：CVE-2026-110955 Wurdey认证绕过详情
• Vulnerability-Lookup：CVE-2026-115811 Strong Testimonials存储型XSS
• NVD：CVE-2026-118168 MapPress用户信息泄露

延伸阅读：星火跨境博客 · 跨境电商每日资讯