libheif 严重漏洞：通过 WordPress 图片上传即可触发远程代码执行

📋总体概括

libheif 库被披露一个严重级别的堆缓冲区溢出漏洞（编号 GHSA-x8r2-mggj-j6wr），缺陷位于其未压缩图像（unci）解码器中。攻击者无需复杂前置条件，只要拥有 WordPress 站点的低权限认证账户，即可通过媒体库标准上传流程提交特制 HEIC 图片触发漏洞，进而实现远程代码执行。官方已在 libheif 1.23.3 版本中修复该问题。由于 WordPress 生态对图像处理库的广泛依赖，该漏洞对大量站点构成现实威胁，建议运营方尽快升级依赖库并核查 HEIC 文件处理链路。