事件经过
CVE-2026-110886 是 CVSS 9.8 的未认证 PHP 对象注入（不可信输入反序列化），影响 Conversational Forms for ChatBot 插件 1.5.1 及以下版本，允许任意对象注入。已在 1.5.2 版本修复。
影响分析
对于使用此聊天机器人插件的任何站点，未认证攻击者可能通过 PHP 小工具链实现远程代码执行，从而控制运行 AI 聊天机器人的 WordPress 主机——尽管这是一个小众软件包。
攻击途径
聊天机器人表单插件中存在未认证的不可信数据反序列化（PHP 对象注入，CWE-502），可从网络访问且无需任何权限。
受影响系统
Conversational Forms for ChatBot（conversational-forms）1.5.1 及以下版本
缓解措施
升级到 1.5.2（已修复版本）。公告：Patchstack WordPress Conversational Forms for ChatBot 1.5.1 PHP Object Injection。