CVE-2026-108125 wp-post-author SQL注入漏洞

wp-post-author 是一款 WordPress 作者信息展示插件。其 4.0.0 至 4.1.0 之前的版本存在 SQL 注入漏洞，原因是未对 SQL 命令中使用的特殊元素进行正确中和。攻击者可借此注入恶意 SQL 语句，影响数据库安全。

影响范围

wp-post-author

受影响版本为 wp-post-author 4.0.0 及以上、4.1.0 之前的版本。

漏洞详情

该漏洞属于典型的 SQL 注入（CWE-89），成因是插件在拼接 SQL 查询时未对用户可控输入进行充分的转义或参数化处理。攻击者可将特制 SQL 片段注入到相关参数中，从而改变原查询逻辑，读取、修改或删除数据库中的敏感数据。

利用条件与风险

利用通常需要能够向存在漏洞的参数提交可控输入，实战中可能被用于窃取 WordPress 数据库中的用户、配置等敏感信息，风险较高。

修复建议

建议升级至 wp-post-author 4.1.0 或更高版本。若暂无法升级，可考虑停用该插件，或通过 WAF 对相关请求参数进行过滤拦截。

Improper neutralization of special elements used in an SQL command (‘SQL injection’) vulnerability in wp-post-author.

This issue affects wp-post-author version 4.0.0 prior to 4.1.0.