昨天我们写了 CVSS 满分的 YOOtheme Pro 漏洞，很多读者会拿同一周披露的另一条来问：Custom Tables（JoomlaBoat 出品）的未认证任意文件上传，CVE-2026-105606，CVSS 4.0 评分 9.5——只比满分少 0.5，是不是一样的危险？答案是：不一样，而且差距值得讲清楚。这个对比恰好是理解"文件上传漏洞到底有多危险"的最好教材。受影响版本从 1.0 一路到 3.7.8 之前——几乎全版本覆盖，修复版是 3.7.8，11 月 2 日披露、3 日入库。

漏洞机制：上传没有门槛，写入没有限制

Custom Tables 是 Joomla 生态里常用的自定义表格/目录构建扩展——做产品目录、会员名录、数据展示的站点经常用到它。CVE-2026-105606（CWE-434）出在它的文件处理上：一个未认证的远程攻击者可以直接上传文件到 Web 可访问目录，且文件内容可控（IONIX 的分析指出攻击者可上传"多语文件"——同一文件在不同处理方式下呈现不同形态，例如带恶意内容的合法图片）。没有认证门槛，没有类型校验，写入位置在 Web 根范围内。

关键边界：为什么这是 9.5 而不是 10.0

这是本文最想讲清的技术差异。YOOtheme 的漏洞里，上传的文件会被服务器当作 PHP 执行——所以是未认证 RCE，Unit 42 观测到了真实的 webshell 攻击。而 Custom Tables 这条，默认配置下上传的文件作为静态内容提供服务——攻击者拿到的主要能力是"在你的域名下托管任意内容"：钓鱼页面、恶意软件分发页、垃圾内容。CISA 的评估（SSVC）标注利用"暂无已知在野"、可自动化、技术影响"完全"。听起来缓和一些，但"9.5 分"和"域名被滥用"对站点主人绝不是小事——搜索引擎与安全厂商对被托管钓鱼页的域名惩罚，可能让一个认真经营多年的站点的域名信誉一夜归零。而危险边界还有另一侧：如果你的服务器配置了上传目录解析 PHP（一些主机为兼容旧程序会这么配），这条"文件写入"会立刻升级为与 YOOtheme 无异的 RCE。CVSS 评分描述的是默认配置下的典型危害，你的实际风险由服务器配置决定。

给中文用户的建议

所有 Custom Tables 用户：升级到 3.7.8 或更新——受影响范围是 1.0 起的全版本，不存在"老版本没这问题"的侥幸。 排查配置：检查 images 等上传目录是否启用了 PHP 解析——检查方法很简单，放一个 的 test.php 进上传目录再从浏览器访问它；如果它执行了，你的"文件上传漏洞"就已经是 RCE，且需要按入侵事件处理（参考我们昨天写的 YOOtheme 应对清单）。域名信誉自查：在 Google Search Console 查安全问题和手动操作记录、用 Safe Browsing 状态检查站点 URL 是否被标记——如果你的站点在 10 月底前长期运行旧版本，值得查一下是否已被托管过恶意内容。建站公司：客户的目录/列表类站点多用 Custom Tables，升级时顺手确认主机商的上传目录 PHP 处理策略——这类配置问题单次沟通就能消除一大类风险。

总结

CVSS 9.5 和 10.0 之间隔着 0.5 分，但隔着的是"域名信誉风险"与"服务器完全沦陷"两种量级的后果——而这两个量级之间的开关，可能只是主机面板里的一个 PHP 解析设置。11 月上半月的 CVE 密集披露到今天已经覆盖了模板框架、页面构建器、表格组件和编辑器组合，本周报道的主线始终是一个：每个扩展的每个输入点都值得按"最坏情况"检查一遍。升级 3.7.8，然后去确认你的上传目录不解析 PHP——这两件事加起来不超过二十分钟。