WordPress 的 Quick Playground 插件在所有版本中（包括 1.3.1）存在远程代码执行漏洞。这是由于 REST API 端点上的授权检查不足，这些端点暴露了同步代码并允许任意文件上传。这使得未经身份验证的攻击者可以检索同步代码，上传带有路径遍历的 PHP 文件，并在服务器上实现远程代码执行。

该漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受影响的 WordPress 服务器上执行任意代码，从而完全控制服务器。这可能导致数据泄露、恶意软件感染、网站篡改，甚至更严重的后果。攻击者可以通过上传包含恶意代码的 PHP 文件来实现代码执行，利用路径遍历绕过安全限制。由于漏洞无需身份验证，攻击者可以匿名利用此漏洞，扩大了攻击范围。

1. 已保留2026-02-03
2. 发布日期2026-04-09
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-16

最有效的缓解措施是立即将 Quick Playground WordPress 插件升级至 1.3.2 版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制对 REST API 端点的访问，使用 Web 应用防火墙 (WAF) 阻止恶意文件上传，并定期扫描服务器上的可疑文件。此外，应审查 WordPress 插件的权限设置，确保只授予必要的权限。升级后，请验证插件是否正常运行，并检查服务器日志中是否存在异常活动。