CVE-2026-95610 UpSolution Core 盲 SQL 注入漏洞

UpSolution Core 是 UpSolution 公司（WordPress 主题相关）的核心组件，其 us-core 模块存在 SQL 注入漏洞。该漏洞源于对 SQL 命令中特殊元素未做正确中和处理，属于盲注类型。攻击者可借此读取或推断数据库中的敏感数据。

影响范围

UpSolution Core

受影响版本为 UpSolution Core 9.3 及之前版本（from n/a through 9.3），具体起始受影响版本暂无公开信息。

漏洞详情

漏洞类型为 SQL 注入（CWE-89），成因是应用在拼接 SQL 查询时未对用户可控输入进行充分的转义或参数化处理。由于属于盲 SQL 注入，攻击者无法直接看到查询结果，需通过布尔条件或时间延迟等方式逐位推断数据库内容。

利用条件与风险

利用通常需要攻击者能够向存在漏洞的参数发送可控输入，且目标组件可被外部访问。实战中可导致数据库敏感信息泄露，CVSS 评分 8.5，风险较高。

修复建议

建议升级 UpSolution Core 至 9.3 之后的修复版本；若暂无可用更新，应限制相关接口访问、部署 WAF 拦截 SQL 注入特征，并对输入进行严格过滤。具体官方补丁信息暂无公开信息。

Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’) vulnerability in UpSolution UpSolution Core us-core allows Blind SQL Injection.This issue affects UpSolution Core: from n/a through 9.3.