CVE-2026-82925— Site Reviews 7.2.2-8.2.2 无认证PHP对象注入漏洞
一分钟漏洞结论
影响对象
Unknown Site Reviews
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Site Reviews WordPress 插件在 8.3.0 版本之前未对请求数据中的反序列化操作进行防护，并通过填充（padding）该站点的 WordPress 非空值密钥（nonce key）来推导用于保护这些数据的密钥。在那些密钥缺失、仍为默认示例值或过短而缺乏保密性的安装环境中，该密钥可被公开计算得出。这使得未认证用户能够在此类环境中注入任意 PHP 对象。由于 Site Reviews 插件 8.3.0 之前的自身代码中不存在从注入对象出发的后续利用链，因此漏洞的影响范围取决于站点上其他代码的具体情
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Unknown | Site Reviews | 7.2.2< 8.3.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-82925 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Site Reviews 7.2.2 - 8.2.2 - Unauthenticated PHP Object Injection via Form Signature
来源: CVE Program / CVE List V5
Vulnerability Description
The Site Reviews WordPress plugin before 8.3.0 does not prevent request data from being deserialized, and derives the key protecting that data by padding out the site's WordPress nonce key, which makes the key publicly computable on installs where that key is absent, left at its sample value, or too short to be secret. This allows unauthenticated users to inject arbitrary PHP objects on such installs. The Site Reviews WordPress plugin before 8.3.0's own code contains no chain onward from the injected object, so how far it reaches depends on the other code present on the site.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Site Reviews | 7.2.2 ~ 8.3.0 | - |
|
二、漏洞 CVE-2026-82925 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-82925 的情报信息
请登录查看更多情报信息。
CVE-2026-82925 概念验证 (1)
-
🔗 Site Reviews 7.2.2 – 8.2.2 – Unauthenticated PHP Object Injection via Form Signature | CVE 2026-82925 | Plugin Vulnerabilities exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-09-10 · 共 8 条
| CVE-2026-81431 | WooCommerce注册表单1.1.0-1.1.2权限提升漏洞 | |
| CVE-2026-77770 | miniOrange 2FA 未认证任意选项删除漏洞 | |
| CVE-2026-77771 | miniOrange 2FA 验证码锁定导致双重认证绕过 | |
| CVE-2026-78361 | WooCommerce插件zipMoney 2.4.0之前版本任意选项删除漏洞 | |
| CVE-2026-19840 | Notiqoo < 1.4.14 任意选项更新漏洞 | |
| CVE-2026-19436 | WooCommerce Ultimate Gift Cards < 3.2.10 未认证礼卡价值膨胀漏洞 | |
| CVE-2026-19439 | WooCommerce Ultimate Gift Cards 3.2.9 信息泄露漏洞 |