Contact Form 7曝CVE-2026-114432：未授权任意文件上传CVSS 9.8，PoC将于11月19日公开

2026年11月10日 · 独立站技术动态

装机量超1000万的WordPress表单插件Contact Form 7曝出严重漏洞：CVE-2026-114432，未授权任意文件上传，CISA补充评估CVSS 9.8（Critical）。漏洞影响6.2至6.2.3版本，官方已在6.2.4修复。WPScan确认漏洞PoC将于11月19日公开，留给站长的升级窗口只剩约一周。法国CERT Santé已于11月9日发布告警。

漏洞原理与危害

CCN-CERT与WPScan的技术描述显示：6.2.4之前的版本未校验表单文件字段上传文件的类型与扩展名，攻击者借助无效UTF-8文件名绕过校验，无需任何登录即可上传任意文件。在特定Apache配置下可进一步实现远程代码执行（RCE），即直接被拿站。

为什么独立站必须本周处理

联系表单是WooCommerce独立站的标配组件，询盘表单、批发询价表单大多建在Contact Form 7上。11月19日PoC公开后，批量扫描器会在数小时内跟进，未升级站点将暴露在自动化攻击下。

处置清单

1. 立即升级至6.2.4或更高版本，升级后测试表单提交与邮件通知；
2. 检查uploads目录是否存在可疑可执行文件；
3. WAF增加对表单上传接口的规则，限制非常用文件类型；
4. 开启插件自动更新或订阅安全通告，避免下一次再靠运气。

信息来源

• WPScan：Contact Form 7未授权任意文件上传漏洞详情
• CERT Santé：WordPress CVE-2026-114432告警
• CCN-CERT：CVE-2026-114432漏洞公告

延伸阅读：星火跨境博客 · 跨境电商每日资讯