WordPress Coven Core 插件 <= 1.3 - SQL 注入漏洞

此 SQL 注入漏洞允许攻击者通过构造恶意的 SQL 查询来绕过应用程序的安全措施，从而访问数据库中的敏感数据。攻击者可以利用此漏洞提取用户凭据、个人信息、财务数据或其他敏感信息。由于是盲 SQL 注入，攻击者可能需要进行多次查询才能提取所需信息，但成功后造成的损害可能非常严重。如果数据库包含应用程序的配置信息，攻击者甚至可能修改数据库内容，从而控制整个应用程序。

WordPress sites utilizing the Coven Core plugin, particularly those with sensitive data stored in the database, are at significant risk. Shared hosting environments where multiple websites share the same database are especially vulnerable, as a compromise of one site could potentially expose data from others. Sites using older, unpatched versions of WordPress or with weak security configurations are also at increased risk.

• wordpress / composer / npm:

grep -r "SELECT .* FROM" /var/www/html/wp-content/plugins/coven-core/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/coven-core/ | grep SQL

• wordpress / composer / npm:

wp plugin list | grep coven-core

• wordpress / composer / npm:

wp plugin status coven-core

1. 2026-02-20Disclosure

   disclosure

1. 已保留2025-12-31
2. 发布日期2026-02-20
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

由于目前没有官方的修复版本，建议采取以下缓解措施：首先，限制对 Coven Core 的访问，只允许授权用户访问。其次，实施严格的输入验证和过滤，防止恶意 SQL 查询的注入。可以使用 Web 应用程序防火墙 (WAF) 来检测和阻止 SQL 注入攻击。此外，定期备份数据库，以便在发生安全事件时能够快速恢复。最后，密切监控应用程序的日志，以便及时发现和响应潜在的攻击。