发生了什么
WordPress 插件 WP Duplicate（曾用名 LocalSync）存在一个高危漏洞，编号 CVE-2026-123751，CVSS 3.1 评分为 9.8。CVE 记录的分配机构 WPScan 在 2026 年 11 月 9 日发布的记录中明确写明，该漏洞“正在野外被积极利用”（This vulnerability is being actively exploited in the wild）。受影响的是 1.1.11 及更早版本。截至 2026 年 11 月 12 日本轮核查，WPScan 漏洞库仍标注“No known fix”，即尚无官方修复版本；该漏洞也未列入 CISA 已知被利用漏洞（KEV）目录。
漏洞是什么
该漏洞属于不受限制地上传危险类型文件（CWE-434）。按 CVE 记录描述，插件没有正确校验请求的认证值，也没有校验上传文件的路径与类型，未登录的攻击者因此可以向服务器写入任意文件，进而获得远程代码执行能力。概念上讲，问题出在上传入口的身份校验与文件校验缺失，而不是某个配置项写错。
受影响的版本
- 受影响：WP Duplicate 1.1.11 及更早版本（插件标识 local-sync，曾用名 LocalSync）。
- 修复版本：截至本轮核查尚无官方修复版本发布，不要等待补丁。
- 不在受影响范围：未安装该插件的 WordPress 站点不受此漏洞影响。
应该怎么做
由于没有可升级的修复版本，正确做法是直接移除插件，而不是等待更新：
- 在 WordPress 后台的插件列表中确认是否安装了 WP Duplicate 或 LocalSync，版本是否在 1.1.11 及以下；如是，立即停用并删除该插件。
- 删除后检查网站根目录与 wp-content/uploads 等上传目录，查找非预期的新增文件，尤其是近期出现的可疑脚本文件。
- 检查 WordPress 用户列表，确认没有非预期新增的管理员账号。
- 检查服务器访问日志，留意针对该插件上传接口的异常请求；如发现异常上传记录，按入侵事件处理：从已知干净的备份恢复，并轮换数据库密码、管理员密码与相关服务凭证。
- 如站点曾用该插件做过站点克隆或迁移，迁移完成且确认不再使用后，同样应删除插件，不要长期留作备用。
相关提醒
同一插件另有一项未修复的问题 CVE-2026-39755（订阅者级别任意文件上传，同样无官方补丁），这也是建议直接移除该插件而不是等待修复的原因之一。后续如厂商发布新版本并明确修复上述问题，再评估是否重新安装。
信息来源与核查说明
本文事实以 CVE 官方记录（分配机构 WPScan，2026 年 11 月 9 日发布）、WPScan 漏洞库（2026 年 11 月 10 日更新，标注无已知修复版本）与 Rapid7 漏洞库为准；CISA KEV 状态以 2026 年 11 月 12 日本轮抓取的官方 KEV 目录（仍为 2026.11.10 版）核对，未见该漏洞列入。本文只讲受影响版本、修复状态与自查步骤，不涉及利用细节。