CVE-2026-93000 SPS-Suite WordPress 插件 SQL 注入漏洞

SPS-Suite 是一款 WordPress 插件，在其静态页面搜索功能启用时，未对搜索关键词做过滤便直接拼入 SQL 查询。该缺陷导致未认证攻击者可通过构造恶意搜索参数实施 SQL 注入。

影响范围

SPS-Suite WordPress 插件

SPS-Suite WordPress 插件 1.4.0 及之前版本受影响，具体修复版本暂无公开信息。

漏洞详情

漏洞属于 SQL 注入，成因是插件在启用静态页面搜索功能后，将用户可控的搜索关键词未经清理直接拼接进 SQL 语句。攻击者无需登录，只需向搜索接口提交特制参数即可改变原查询语义，从而读取、修改或删除数据库内容。

利用条件与风险

利用前提是目标站点启用了该插件的静态页面搜索功能，且搜索参数可被外部访问；由于无需认证，实战中易被批量扫描利用，风险较高。

修复建议

建议关注厂商发布的修复版本并及时升级插件；在补丁发布前，可临时关闭静态页面搜索功能或对搜索参数进行严格过滤与参数化查询处理。

The SPS-Suite WordPress plugin through 1.4.0 does not sanitise the search query before using it in a SQL query when its static-page search feature is enabled, allowing unauthenticated attackers to perform SQL injection attacks.