WordPress 抓取插件因安全漏洞被攻破

WordPress自动内容抓取插件Crawlomatic被曝存在严重安全漏洞，攻击者可利用该漏洞向受影响站点上传恶意文件。该漏洞CVSS评分高达9.8分，风险等级极高。

Crawlomatic插件功能与安全认证

Crawlomatic是一款在Envato CodeCanyon平台销售的付费插件（售价59美元），主要功能为自动爬取论坛、RSS源及其他网站内容并发布至用户站点。该产品页面宣称符合“WordPress质量标准”及“Envato WP要求合规”，并支持抓取JavaScript渲染的网站。

未授权任意文件上传漏洞详情

Wordfence安全团队披露，Crawlomatic 2.6.8.1及以下版本在crawlomatic_generate_featured_image函数中缺失文件类型验证机制，导致未授权任意文件上传漏洞。未经身份验证的攻击者可借此在服务器上传任意文件，进而实现远程代码执行。

修复建议

官方已发布补丁，强烈建议所有用户立即将插件升级至2.6.8.2或更高版本以消除安全隐患。