WordPress Total Poll Lite 插件 <= 4.12.0 - 远程代码执行 (RCE) 漏洞

此 RCE 漏洞允许攻击者在受影响的 WordPress 站点上执行任意代码。攻击者可以利用此漏洞上传恶意文件，执行系统命令，甚至完全控制受影响的网站。 攻击者可以窃取敏感数据，例如用户凭据、数据库内容和商业机密。 此外，攻击者还可以利用此漏洞作为跳板，攻击网络中的其他系统，造成更广泛的损害。 这种漏洞的潜在影响类似于其他已知的 RCE 漏洞，例如 Log4Shell，可能导致数据泄露、服务中断和声誉损害。

WordPress websites utilizing the Total Poll Lite plugin, particularly those running versions 0.0.0 through 4.12.0, are at significant risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit the vulnerability on multiple websites hosted on the same server. Sites with weak file access controls or inadequate security monitoring are also at increased risk.

• wordpress / composer / npm:

wp plugin list | grep total-poll-lite

• wordpress / composer / npm:

grep -r 'include($_REQUEST' /var/www/html/wp-content/plugins/total-poll-lite/*

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/total-poll-lite/ | grep 'Remote Code Inclusion'

1. 2026-03-25Disclosure

   disclosure

1. 已保留2026-02-17
2. 发布日期2026-03-25
3. 修改日期2026-04-28
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Total Poll Lite WordPress 插件升级到最新版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，禁用受影响的 Total Poll Lite 插件。其次，使用 WordPress 插件防火墙 (WAF) 阻止对插件的恶意请求。 还可以配置 WordPress 服务器以限制文件上传类型，以防止攻击者上传恶意文件。 最后，定期扫描 WordPress 站点是否存在漏洞，并及时修复发现的任何问题。 升级后，请验证插件是否正常运行，并检查是否有任何异常活动。