如果你用 WP Data Access 把資料表做成前台表單，尤其是讓訪客直接填寫的表單，請先到 WordPress 的外掛清單核對版本。11 月 6 日公開的 CVE-2026-118267 涉及寫入權限檢查。Patchstack 將它標為已知被利用。翌日公開的 CVE-2026-121783 則是另一項問題，修補版本也不同。
兩個漏洞的修補版本
| 漏洞 | 受影響 | 最低修補 |
|---|---|---|
| CVE-2026-118267 寫入權限檢查 |
5.5.89 或以前 | 5.5.90 |
| CVE-2026-121783 跨站請求偽造 |
5.5.90 或以前 | 5.5.91 |
開發者的更新紀錄列出 11 月 5 日發布的 5.5.91，以及 11 月 6 日發布的 5.5.92。仍在 5.5.89 或 5.5.90 的站點，可直接安裝 5.5.92 或以上的正式版本，一次涵蓋兩項修補。
先查有寫入權限的公開表單
依 Wordfence 的說明，CVE-2026-118267 需要站上已發布 Data App，並對某個角色或匿名使用者開放新增、修改或刪除資料的操作。匿名路徑還要把 REST 授權設為允許匿名。當這些條件成立，外掛可能讓請求越過原先的資料範圍。實際影響視表單連到的資料和開放的操作而定，公告也列出可導致管理員權限遭接管的情況。
CVE-2026-121783 涉及 Data Designer 缺少請求驗證，需要有權限的使用者受誘觸發操作。它和訪客可直接利用的寫入路徑有不同條件。
更新後重查權限和資料
把公開的 Data App 列出來，逐一確認哪些頁面需要讓訪客寫入。用自家測試站的訪客與一般帳號，核對必要的表單仍可提交，非本人的資料仍不能編輯。若站點曾開放匿名寫入並使用受影響版本，保留相關存取與應用紀錄，檢查近期管理員帳號、角色和資料表有沒有非預期變動，再請維護者判讀可疑時間點。
封面為 AI 生成的概念插圖。
