CVE-2025-14476 WordPress Doubly插件PHP对象注入漏洞

这是一个WordPress插件中的严重安全漏洞。Doubly插件（Cross Domain Copy Paste）在处理上传的ZIP压缩包时存在PHP对象注入漏洞。攻击者可以利用此漏洞通过上传包含恶意序列化对象的ZIP文件来执行任意代码、删除文件或获取敏感信息。漏洞需要攻击者具有至少Subscriber级别的权限才能利用。

漏洞源于插件在解压ZIP文件时直接反序列化content.txt文件内容而未进行充分验证。攻击者可以构造包含恶意序列化对象的ZIP文件，当管理员或具有足够权限的用户导入该文件时，恶意对象会被反序列化并触发攻击。