WordPress熱門表單外掛SureForms存在漏洞，逾20萬網站面臨惡意接管威脅

WordPress生態系再度爆發重大資安事件，熱門表單外掛SureForms被發現存在高風險，未經驗證任意檔案刪除漏洞CVE-2025-6691，受影響網站數量超過20萬。此漏洞允許攻擊者在未登入的情況下，經由提交特製表單，藉由網站管理員在後臺刪除該筆表單紀錄時，執行任意檔案刪除行為，可能造成網站被接管甚至遠端程式碼執行風險。

SureForms外掛在1.7.3及之前所有版本皆受到此漏洞影響。資安公司Wordfence的技術報告指出，駭客只需提交一分包含惡意檔案路徑的表單，就能濫用外掛在檔案路徑驗證上的漏洞。當網站管理員在後臺刪除該筆表單紀錄時，外掛會根據表單資料中的路徑自動刪除對應檔案。當攻擊者在表單中設定欲刪除的檔案為wp-config.php等網站核心設定檔，網站將會被迫進入安裝初始畫面，甚至可能被攻擊者重新連結到其控制的資料庫，導致網站遭到完全接管。

研究人員表示，這類未經驗證的任意檔案刪除漏洞具有極高風險，即使表面上需管理員配合進行資料刪除，但在大量垃圾或釣魚表單充斥的情境下，管理員很容易因誤判而觸發漏洞，實際攻擊門檻並不高。這種攻擊手法與今年稍早爆發的Formidable Forms外掛漏洞高度類似，皆反映出表單類外掛在檔案處理與安全驗證設計上的共通挑戰。

SureForms外掛開發團隊在收到通報後，快速釋出1.7.4版本修補，同時回溯修補舊有多個版本1.6.5、1.5.1、1.4.5等共計9個版本，並與WordPress官方團隊合作進行強制更新推送，減少使用者因未及時更新而暴露在攻擊風險的機會。使用SureForms的網站管理者應立即檢查外掛版本，確保外掛已升級至經修補的版本。