2026 年 7 月 16 日，国家信息安全漏洞库（CNVD）公开了 WordPress 插件 AcyMailing 的跨站脚本漏洞，编号 CNVD-2026-27657，对应 CVE CVE-2026-12170。该漏洞影响 AcyMailing <= 10.10.2 版本，CVSS 危害等级为中危。由于 AcyMailing 是 WordPress 生态中安装量较大的邮件订阅与营销插件，且该插件常用于企业官网、电商站点的邮件列表管理，因此影响面不容小觑。厂商已发布安全更新，建议相关站长立即升级并做一轮漏洞排查。
一、漏洞基本信息
| 字段 | 内容 |
|---|---|
| CNVD-ID | CNVD-2026-27657 |
| CVE-ID | CVE-2026-12170 |
| 公开日期 | 2026-07-16 |
| 危害级别 | 中（AV:N/AC:L/Au:S/C:P/I:P/A:N） |
| 影响产品 | WordPress AcyMailing plugin <= 10.10.2 |
| 漏洞类型 | 跨站脚本（XSS） |
| 修复状态 | 厂商已发布补丁 |
| 补丁地址 | https://wordpress.org/plugins/acymailing/ |
二、漏洞原理：alignment 属性清理不足
根据 CNVD 描述，该漏洞源于 AcyMailing 插件对 alignment 属性的输入清理（input sanitization）和输出转义（output escaping）不足。攻击者可以构造包含恶意 JavaScript 代码的 alignment 属性值，当该值被插件保存并在页面中渲染时，脚本会被执行。
具体攻击路径通常如下：
- 攻击者登录具有编辑权限的 WordPress 账号（或利用其他插件漏洞提升到可编辑状态）；
- 在 AcyMailing 的邮件模板、表单或区块设置中，注入带有恶意
alignment属性的内容； - 恶意脚本被持久化保存到数据库；
- 当管理员或其他用户访问包含该内容的页面时，脚本在浏览器上下文中执行，造成 Cookie 窃取、会话劫持、后台越权操作等后果。
由于这是一个存储型 XSS（Stored XSS），恶意脚本一旦写入数据库，就会持续影响所有访问该页面的用户，危害远大于反射型 XSS。
三、影响范围：哪些人需要关注
AcyMailing 在 WordPress 插件市场中主要用于以下场景：
- 邮件订阅列表管理
- 新闻邮件（Newsletter）创建与发送
- 用户注册欢迎邮件、弃购邮件
- 与 WooCommerce 结合的邮件营销自动化
因此，以下几类站点受影响最大：
- 使用 AcyMailing 的电商站点：邮件模板多、用户交互频繁，XSS 一旦触发，可直接窃取管理员后台会话；
- 内容型博客/媒体站：订阅表单是常见入口，攻击者可通过社会工程学诱导管理员查看恶意邮件内容；
- 多用户协作站点：如果站点允许编辑、作者等角色使用 AcyMailing，低权限用户也可能利用该漏洞横向提权；
- 使用 AcyMailing 旧版本（<= 10.10.2）的所有 WordPress 站点。
四、如何自查是否受影响
方法一：后台插件页面查看版本
登录 WordPress 后台，进入 插件 → 已安装插件，找到 AcyMailing。如果版本号 <= 10.10.2，则存在漏洞。
方法二：数据库查询版本
如果你有权访问数据库，可以直接执行：
-- 通过 wp_options 表查询 AcyMailing 版本信息
SELECT option_name, option_value FROM wp_options
WHERE option_name LIKE '%acymailing%' AND option_name LIKE '%version%'
LIMIT 10;
方法三：命令行批量检查（适用于多站点管理）
如果你管理多台 WordPress 服务器，可以用 SSH 登录后检查插件目录：
# 查找 AcyMailing 插件目录下的版本声明文件
find /www/wwwroot/*/wp-content/plugins/acymailing/ -maxdepth 2 -name "*.php" 2>/dev/null | xargs grep -h "Version:" 2>/dev/null | head -5
路径
/www/wwwroot/*是宝塔面板的默认站点目录。如果你的服务器使用其他路径，请自行替换为站点根目录。
五、修复建议
1. 立即升级插件（首选方案）
进入 WordPress 后台：
- 插件 → 已安装插件 → AcyMailing → 立即更新
如果后台无法自动更新，可手动下载：
# 进入插件目录
wp plugin update acymailing --path=/www/wwwroot/your-site.com
或直接下载覆盖：
cd /www/wwwroot/your-site.com/wp-content/plugins
rm -rf acymailing
wget https://downloads.wordpress.org/plugin/acymailing.latest-stable.zip
unzip acymailing.latest-stable.zip
rm acymailing.latest-stable.zip
chown -R www:www acymailing
宝塔用户注意：执行前建议在「文件」中备份旧版
acymailing目录，或通过「宝塔备份」功能先创建整站快照。
2. 如果暂时无法更新，先禁用相关功能
升级前如果担心兼容性问题，可以临时禁用 AcyMailing 的邮件模板编辑功能，或限制低权限用户访问该插件：
- 进入 用户 → 角色管理，取消编辑/作者对 AcyMailing 的编辑权限；
- 在 AcyMailing 设置中关闭前端订阅表单显示，直到完成更新。
3. 更新后清理潜在恶意内容
升级插件本身不会自动清理已写入数据库的恶意脚本。建议更新后执行以下排查：
-- 搜索可能包含 <script> 标签的 AcyMailing 相关字段
-- 注意：表前缀可能是 wp_ 或自定义前缀，请按实际情况修改
SELECT * FROM wp_acym_mail
WHERE body LIKE '%<script%'
OR body LIKE '%javascript%'
OR body LIKE '%onerror%'
OR body LIKE '%onload%'
LIMIT 50;
如果命中记录，需要人工复核是否为用户正常内容，确认为恶意脚本后删除。
4. 检查近期异常登录与后台操作
如果站点已经被入侵，XSS 可能只是攻击链的一部分。建议结合宝塔安全日志或服务器日志，检查：
- 近期是否有陌生 IP 登录后台
- 是否有新创建的管理员账号
- 主题/插件目录是否被修改
# 宝塔面板：查看 7 天内被修改的 PHP 文件
find /www/wwwroot/your-site.com/wp-content/plugins -name "*.php" -mtime -7 -ls
# 查看 WordPress 登录日志（部分安全插件会记录）
cat /www/wwwroot/your-site.com/wp-content/uploads/wpsimplefirewall.log 2>/dev/null | tail -50
六、防护加固：别让 XSS 成为入口
即使升级了 AcyMailing，XSS 仍然是 WordPress 站点的常见风险。建议从以下维度建立纵深防御：
1. 最小权限原则
不要让普通编辑/作者角色拥有安装插件、修改主题、编辑代码的权限。AcyMailing 这类插件的管理权限应只授予需要操作邮件营销的人员。
2. 开启内容安全策略（CSP）
在 Nginx 或 Apache 配置中增加 CSP 头，限制内联脚本执行：
# 在站点配置 server 块中添加
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none';" always;
注意：CSP 是一把双刃剑，如果站点使用了第三方统计、广告、CDN 资源，需要根据实际加载的域名逐步调整白名单，避免误拦截正常功能。
3. 在边界层部署 WAF
XSS 攻击最终都会通过 HTTP 请求进入站点。如果站点已经接入了 百度云防护 WAF，可以开启 XSS 攻击检测规则，对包含 <script>、事件处理器（onerror、onload）、javascript: 等特征的请求进行拦截。即使插件暂时存在漏洞，WAF 也能在网络层挡住大部分利用流量。
百度云防护专业版支持虚拟补丁能力，针对已知插件漏洞可在不修改代码、不重启服务的情况下，在边缘节点拦截恶意请求。通过主机吧购买可享 7.5 折优惠（299 元/月），对于有多个 WordPress 站点需要统一防护的团队来说，性价比很高。
七、主机吧看法
AcyMailing 这个漏洞再次提醒我们：WordPress 的插件生态越是繁荣，攻击面就越大。 邮件营销类插件通常涉及大量 HTML 内容渲染，本来就比纯文本插件更容易出现 XSS。AcyMailing 对 alignment 属性的清理不足，看似是一个小点，但存储型 XSS 一旦和钓鱼邮件、管理员后台结合起来，完全可以演变为接管整个站点的入口。
建议站长养成三个习惯：
- 每周看一次 WordPress 后台更新提醒，核心程序、插件、主题有更新及时处理；
- 不要给非必要人员管理员权限，很多 XSS 之所以能造成严重后果，是因为低权限账号被利用后进一步提升；
- 网站边界至少有一层 WAF，插件漏洞可以临时用虚拟补丁兜底，但不要把所有安全都押在插件更新上。
CVE-2026-12170 已经公开，补丁也已放出，受影响站点没有理由继续暴露在风险中。现在就升级，比明天收到安全通报再升级要好。
