如果你的 WordPress 商店用 SliceWP 記錄推薦訂單和佣金，請先到外掛清單核對版本。1.2.14 及更早版本存在無須登入的 SQL 注入漏洞（CVE-2026-120043），建議更新到 1.2.15 或以上。
哪些版本要更新
| 外掛 | 受影響 | 最低修補版本 |
|---|---|---|
| Affiliate Program Suite — SliceWP Affiliates | 1.2.14 或以前 | 1.2.15 |
WordPress.org 的版本資料顯示，1.2.15 在 11 月 5 日已上架。Wordfence 和 Patchstack 在 11 月 6 日公開漏洞資料，CVE 紀錄於 11 月 7 日公開。更新時請辨認主外掛 SliceWP Affiliates 的版本，有安裝付費擴充的站點也要核對主外掛。
有開放顧客註冊的商店先查
SliceWP 用電子郵件地址查找客戶時，舊版沒有妥善處理輸入，訪客可能藉此改變資料庫查詢並讀取原本不公開的資料。Wordfence 指出，WooCommerce 的「我的帳戶」頁若允許訪客註冊，就有機會觸發這條路徑。先核對實際開放的註冊入口與外掛版本，再排更新。
Patchstack 將這個 CVE 標為已知被利用，但公告沒有列出可用來判定個別站點是否受影響的事件明細。若站上曾使用舊版並開放註冊，先保留網站存取紀錄和可取得的資料庫紀錄，讓維護者對照實際啟用的版本與時間。
更新後做一筆測試推薦
備份後透過正式管道更新，確認後台顯示 1.2.15 或以上。用自家的測試環境走一次顧客註冊、推薦連結和測試訂單，確認佣金仍記在正確的推廣帳號。若核對舊紀錄時發現陌生帳號或異常佣金變動，先保存紀錄並交由維護者調查來源。
封面為 AI 生成的概念插圖。
