CVE-2026-32539PublishPress Revisions 插件存在严重的SQL注入漏洞，由于未能正确中和SQL命令中的特殊元素，导致盲注风险。攻击者无需任何认证即可利用此漏洞，影响 n/a 至 3.7.23 版本。攻击者可借此获取敏感数据，导致高机密性影响及低可用性影响，建议立即修复。
该漏洞核心在于 PublishPress Revisions 插件在处理前端传入的参数时，缺乏对特殊字符的有效过滤，直接将其拼接到后台 SQL 查询语句中执行。由于漏洞类型被确认为盲注（Blind SQL Injection），攻击者无法在页面上直观看到查询报错或数据回显。利用方式通常基于布尔盲注或时间盲注。攻击者构造包含逻辑判断（如 AND 1=1/1=2）或延迟函数（如 SLEEP(5)）的恶意 Payload。通过分析服务器响应的状态码、内容差异或响应时间长短，攻击者能够逐位猜测并提取数据库中的敏感信息，包括用户哈希、表结构等。考虑到无需认证且为网络攻击向量，该漏洞极易被自动化工具大规模扫描利用，最终可能导致数据大规模泄露及服务中断。