WHMCS 近日发布安全公告，确认存在高危漏洞 CVE-2026-29204。
漏洞核心为 Client Area 授权校验不足。攻击者在已登录 WHMCS 账号的前提下，可能在特定条件下越权访问或操作不属于自己的服务资源。社区讨论中将其描述为通过修改 addonid 等参数触发的越权问题，但官方公告未披露具体参数级利用细节。
受影响版本：
WHMCS 9.x < 9.0.4
WHMCS 8.x < 8.13.3
WHMCS 7.4 及之后的 7.x 版本
官方修复版本：
WHMCS 9.0.4
WHMCS 8.13.3
建议所有自托管 WHMCS 用户立即升级。升级前请备份数据库和完整 WHMCS 目录，升级后检查 Activity Log，重点关注异常 SSO、服务访问、账号与服务归属不匹配等记录。
官方公告：
https://help.whmcs.com/m/125386/l/2073908-cve-2026-29204
社区讨论：
https://lowendtalk.com/discussion/217201/whmcs-cve-patch-cve-2026-29204