根據網路安全公司 Wordfence 的研究報告，廣泛使用的 WordPress 表單插件 Forminator Forms 被發現存在一個極其嚴重的安全性漏洞，編號為 CVE-2026-15748。該漏洞的 CVSS 評分高達 9.8 分，屬於最高危險等級。由於 Forminator 擁有超過 60 萬個活躍安裝量，此漏洞若被利用，將導致大量網站面臨被完全接管的風險。
漏洞背景與成因
這項漏洞的核心在於 Forminator 處理檔案上傳的機制存在缺陷。具體來說，問題出在插件內部的 handle_file_upload 函數中。在正常的運作邏輯下，系統應該會對使用者上傳的檔案類型進行嚴格驗證，以防止惡意程式碼進入伺服器。然而，Forminator 在實作檔案類型過濾時，使用的是一個危險擴展名黑名單，且該黑名單僅採取精確鍵值匹配。
攻擊者可以利用 MIME 類型（MIME type，一種用來識別檔案格式的標準，讓瀏覽器或伺服器知道如何處理該檔案）中的管道符號替代鍵值來繞過這個檢查。此外，該插件的公開提交處理程序過於信任由攻擊者偽造的選擇欄位（Select field）設定，使得攻擊者能夠在提交表單時，注入惡意的上傳欄位配置，進而將包含惡意指令的 PHP 檔案上傳至伺服器。
遠端程式碼執行之運作路徑
當攻擊者成功上傳惡意 PHP 檔案後，目標將是實現遠端程式碼執行（Remote Code Execution, RCE）。RCE 是一種極其危險的攻擊方式，允許攻擊者在遠端伺服器上執行任意指令，從而獲取系統權限、竊取資料或刪除網站內容。
在 Forminator 的預設設定中，上傳的檔案會被儲存在一個受 .htaccess 檔案保護的目錄中，該設定會禁止執行 PHP 程式碼，因此能提供一定的防護。然而，如果網站管理員設定了自定義的檔案上傳儲存路徑（Custom File Upload Storage root），情況將會變得危險。在這種設定下，儲存目錄是在前端請求發生時才被建立，而負責撰寫 .htaccess 保護檔的 WordPress 輔助程式在此過程中並未被載入。這意味著上傳的惡意 PHP 檔案將處於無保護狀態，攻擊者只要直接請求該檔案的 URL，伺服器就會執行其中的惡意代碼，導致整個網站被接管。
觸發條件與影響範圍
要成功利用此漏洞，必須滿足特定的前提條件：受影響的網站必須建立一個同時包含檔案上傳欄位（File Upload field）與選擇欄位（Select field）的表單。如果滿足此條件且插件版本在 1.56.1 或更早版本，未經認證的外部攻擊者即可發動攻擊。
除了 Forminator 之外，Wordfence 同時揭露了另一個名為 User Profile Builder 的插件漏洞（CVE-2026-15826）。該漏洞同樣被評為 9.8 分，其問題在於認證繞過（Authentication Bypass）。當使用者提交一個長度在 61 到 70 個字元的名稱時，WordPress 核心會回傳錯誤物件，但插件在處理時將該物件強制轉換為整數 1，導致系統誤認為該使用者是 ID 為 1 的管理員，從而讓攻擊者直接登入管理權限。
實務建議與限制
面對這類高風險漏洞，網站管理員唯一的有效對策就是立即更新。Forminator 已在 2026 年 7 月 31 日發佈 1.56.2 版本修復此問題；而 User Profile Builder 則在 7 月 16 日透過 3.16.5 版本解決了認證繞過漏洞。
從技術維度來看，這次 Forminator 的事件再次提醒開發者，僅依賴黑名單（Blocklist）來過濾檔案類型是不夠的，因為攻擊者總能找到繞過精確匹配的方法。更安全的做法是採用白名單（Allowlist）機制，僅允許已知且安全的檔案擴展名。同時，確保所有上傳目錄在建立之初就具備禁止執行腳本的權限設定，而非依賴事後的輔助程式載入，才能在根源上杜絕 RCE 攻擊的可能性。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。