平台
wordpress
组件
smart-slider-3
修复版本
3.5.2
CVE-2026-3098 涉及 Smart Slider 3 WordPress 插件中的一个任意文件读取漏洞。该漏洞允许经过身份验证的攻击者读取服务器上的任意文件，可能导致敏感信息泄露。受影响的版本包括 3.5.1.33 及更早版本。该漏洞的 CVSS 评分为 6.5 (MEDIUM)。 修复版本为 3.5.1.34，建议尽快更新。
Smart Slider 3 中的 CVE-2026-3098 对使用此插件的 WordPress 网站构成了重大风险。它允许经过身份验证的攻击者，即使是具有订阅者级别或更高权限的用户，也可以读取服务器上的任意文件。这意味着他们可能能够访问敏感信息，例如密码、API 密钥、数据库数据，甚至网站的源代码。CVSS 分数为 6.5，表明这是一个中等严重程度的漏洞，但由于攻击的容易性和可能被破坏信息的敏感性，潜在损害很大。这些信息的泄露可能导致网站控制权丧失、数据盗窃或声誉受损。
此漏洞存在于 Smart Slider 3 插件的 'actionExportAll' 函数中。经过身份验证的攻击者可以操纵此函数的输入，以指定他们想要读取的服务器上任意文件的路径。由于具有订阅者或更高权限的用户可以在 WordPress 中进行身份验证，因此利用此漏洞的门槛相对较低。利用通常涉及向易受攻击的网站发送专门制作的 HTTP 请求，其中包含所需的文件路径。如果没有适当的验证，服务器会将文件的内容返回给攻击者。检测此利用可能很困难，因为它可能伪装成合法流量。
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
减轻 CVE-2026-3098 最有效的解决方案是将 Smart Slider 3 更新到 3.5.1.34 或更高版本。此版本包含任意文件读取漏洞的修复程序。如果无法立即更新，建议限制服务器上敏感文件访问，并监控网站日志以查找任何可疑活动。此外，请确保所有用户都使用强密码，并在可能的情况下启用双因素身份验证。定期进行安全审计也有助于识别和解决潜在的漏洞。
更新到版本 3.5.1.34 或更新的已修补版本
漏洞分析和关键警报直接发送到您的邮箱。
它是 WordPress 的 Smart Slider 3 插件中的任意文件读取漏洞。
这意味着攻击者必须使用用户帐户（即使是订阅者帐户）登录到 WordPress 网站。
限制对敏感文件的访问并监控网站日志。
如果您使用的是 Smart Slider 3 的 3.5.1.34 之前的版本，则容易受到攻击。
有一些 WordPress 漏洞扫描器可以检测此漏洞，但更新是最佳解决方案。
CVSS 向量
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。