WordPress 的 Social Warfare 插件在版本 3.5.2 及更早版本中，通过 'swp_url' 参数存在远程代码执行 (Remote Code Execution) 漏洞。这允许攻击者在服务器上执行代码。

攻击者利用此RCE漏洞可以完全控制受影响的WordPress网站。他们可以上传恶意文件、修改数据库内容、植入后门程序，甚至完全接管服务器。这可能导致敏感数据泄露、网站被篡改、服务中断，以及进一步的攻击扩散。由于WordPress在全球范围内被广泛使用，该漏洞的潜在影响非常巨大。如果攻击者能够成功利用此漏洞，他们可以窃取用户数据、进行钓鱼攻击，甚至利用受感染的服务器作为跳板攻击其他系统。

Websites using the Social Warfare plugin, particularly those running older versions (≤3.5.3), are at significant risk. Shared hosting environments are especially vulnerable, as a compromise of one website can potentially impact others on the same server. Sites with limited security monitoring or outdated WordPress installations are also at higher risk.

• wordpress / composer / npm:

wp plugin list | grep Social Warfare

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

grep 'swp_url' /var/www/wordpress/wp-content/plugins/social-warfare/includes/shortcodes.php

1. 2024-01-17Disclosure

   disclosure

1. 已保留2024-01-16
2. 发布日期2024-01-17
3. 修改日期2024-10-21
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将Social Warfare插件升级到3.5.3或更高版本。如果无法立即升级，可以尝试限制对插件的访问，例如通过Web应用防火墙（WAF）阻止包含恶意'swp_url'参数的请求。此外，确保WordPress核心和所有其他插件都保持最新状态，以减少潜在的攻击面。定期备份网站数据，以便在发生安全事件时能够快速恢复。

活跃安装数

20K已知

插件评分

3.3

需要WordPress版本

4.5.0+

兼容至

6.7.5

需要PHP版本

5.6+