WordPress 的 Career Section 插件存在跨站请求伪造 (Cross-Site Request Forgery) 漏洞，可能导致路径遍历 (Path Traversal) 和任意文件删除，影响所有版本，包括 1.6 及更早版本。这是由于在 'appform_options_page_html' 函数中缺少 nonce 验证以及对文件路径验证不足导致的。这使得未经身份验证的攻击者可以通过伪造的请求删除服务器上的任意文件，前提是他们能够诱骗站点管理员执行

该漏洞允许未经身份验证的攻击者通过伪造的请求删除服务器上的任意文件。攻击者可以诱骗网站管理员点击恶意链接，从而触发此漏洞。成功利用此漏洞可能导致服务器数据泄露、服务中断，甚至可能导致系统被完全控制。由于该漏洞涉及文件删除，因此其潜在影响非常严重，可能对网站的稳定性和安全性造成重大威胁。攻击者可以删除关键配置文件、数据库文件或其他重要数据，从而导致网站无法正常运行。

Websites utilizing the Career Section plugin, particularly those with WordPress administrators who are susceptible to phishing or social engineering attacks, are at risk. Shared hosting environments where multiple websites share the same server are also at increased risk, as a successful exploit on one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'appform_options_page_html' /var/www/html/wp-content/plugins/career-section/

• wordpress / composer / npm:

wp plugin list | grep 'career-section'

• wordpress / composer / npm:

wp plugin update career-section --version=1.7

• generic web: Check WordPress plugin directory for outdated versions of Career Section.

1. 2026-04-16Disclosure

   disclosure

1. 已保留2025-12-18
2. 发布日期2026-04-16
3. 修改日期2026-04-22
4. EPSS 更新日期2026-04-23

最有效的缓解措施是立即将 Career Section 插件升级至 1.7 版本。如果无法立即升级，可以考虑以下临时缓解措施：限制网站管理员的权限，避免他们访问可能触发漏洞的页面；实施严格的文件访问控制，确保只有授权用户才能访问敏感文件；使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。在升级后，请验证插件是否正常工作，并检查服务器上是否存在任何未经授权的文件删除。