📋 漏洞概述

Piotnet Addons for Elementor Pro 插件文件类型验证缺失，未授权攻击者通过上传 .phar 等危险扩展文件实现远程代码执行。

📋 基础信息

🔬 漏洞根因

在 pafe_ajax_form_builder 函数中，对上传文件仅通过扩展名黑名单进行过滤，但黑名单仅包含 php、phpt、php5、php7、exe，未包含 .phar、.phtml 等可被 PHP 解析执行的危险扩展。同时缺少对文件内容或 MIME 类型的二次校验，导致攻击者可绕过限制上传恶意文件。

🎯 攻击场景

1. 攻击者确认目标站点安装并启用了 Piotnet Addons for Elementor Pro 插件，且版本 <= 7.1.70，并且表单中启用了文件上传字段。2. 攻击者构造一个包含恶意 PHP 代码的 .phar 文件（例如使用 phar:// 伪协议或 SHELL 代码），命名为 exploit.phar。3. 向表单提交 POST 请求，将 exploit.phar 上传到服务器相应的上传路径（通常为 wp-content/uploads/ 或插件临时目录）。4. 服务器仅检查扩展名，.phar 不在黑名单中，文件成功存储。5. 攻击者通过直接访问上传文件 URL，或结合其他文件包含漏洞（如 /?page=phar://...），触发 .phar 文件中的 PHP 代码执行，实现远程命令执行。

💥 漏洞影响

未认证攻击者可上传任意文件至服务器，包括可被 PHP 解析的 .phar、.phtml 等，成功利用后可直接获得远程代码执行能力，完全控制 WordPress 站点，导致数据泄露、网站篡改、植入后门等严重后果。

🛡️ 修复建议

升级插件至 7.1.70 以上版本；临时缓解措施：在服务器层面（如 .htaccess 或 Nginx 配置）禁止上传目录执行 PHP 文件，并禁用.phar、.phtml、.shtml 等危险扩展名。同时可修改插件代码，将文件类型验证改为白名单机制，仅允许图片、文档等安全类型。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-4885
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-4885
• 原始来源（NVD-Latest）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-05-22 08:09 | 来源: NVD-Latest