CVE-2025-12126CVE-2025-12126是WordPress的The Total Book Project插件中的一个中等严重性安全漏洞。该插件旨在帮助用户创建和管理书籍内容，但在所有版本（直到1.0版本）存在不安全直接对象引用（IDOR）问题。漏洞的根本原因在于多个关键函数缺少对用户控制键的充分验证机制。在WordPress的权限模型中，Contributor角色通常只能管理自己创建的内容，但该插件未能正确验证当前登录用户是否有权对特定书籍执行操作。攻击者只需拥有Contributor或更高权限账号，即可通过操纵请求中的对象标识符（如书籍ID或章节ID），对自己不拥有的书籍执行移动、删除、创建章节等敏感操作。这种漏洞允许低权限用户越权访问和修改其他用户的内容资源，可能导致数据泄露、内容篡改或服务中断等安全问题。由于该漏洞利用门槛较低（只需低权限账号），且攻击无需用户交互，因此在实际环境中具有较高的利用风险。建议网站管理员尽快检查并更新插件到最新版本，或采取临时缓解措施。
该IDOR漏洞源于The Total Book Project插件在处理书籍和章节操作时，未能正确验证用户对目标对象的访问权限。漏洞影响插件的多个核心函数，这些函数直接使用用户提供的对象标识符（如book_id、chapter_id）而未进行所有权验证。在WordPress权限体系中，Contributor角色的用户通常只能创建和编辑自己发布的文章，但无法修改其他用户的内容。然而，该插件的受影响函数在执行移动、删除、创建章节等操作时，仅检查用户是否登录，而未验证目标书籍是否属于当前用户。攻击者可以通过拦截正常请求，修改其中的对象ID参数（如将book_id从自己的书籍改为其他用户的书籍），然后发送修改后的请求。服务器端会直接使用这个未经授权的book_id执行相应操作，导致权限绕过。攻击者利用此漏洞可以实现：1）向他人书籍添加/创建章节；2）移动他人书籍中的章节位置；3）删除他人书籍的章节内容。这种设计缺陷使得攻击者可以在不知情的情况下对其他用户的内容进行未授权操作，严重违反WordPress的内容隔离原则。修复方案需要在每个敏感操作前添加当前用户对目标书籍的所有权验证。