CVE-2025-67561CVE-2025-67561是WordPress平台下Oleksandr Lysyi开发的Debug Log Viewer插件中存在的一个高危安全漏洞。该漏洞属于Missing Authorization（缺失授权）类型，由于插件错误配置了访问控制安全级别，允许低权限用户访问本应需要更高权限才能查看的调试日志信息。Debug Log Viewer插件通常用于帮助网站管理员查看和分析WordPress站点的调试日志，以便进行故障排除和性能优化。然而，由于访问控制机制配置不当，未经适当授权的低权限用户（如订阅者角色）可能直接访问调试日志查看功能，从而获取包含敏感信息的日志内容。这些敏感信息可能包括数据库查询语句、文件路径、错误堆栈跟踪、其他用户数据片段等。攻击者可以利用这些信息进一步规划更复杂的攻击活动，例如SQL注入、路径遍历或针对特定漏洞的利用。该漏洞的CVSS评分为5.4，属于中等严重程度，攻击向量为网络形式，攻击复杂度低，且不需要用户交互，认证要求为低权限即可实施攻击。
该漏洞的根本原因在于WordPress Debug Log Viewer插件的访问控制机制实现存在缺陷。在正常的WordPress插件开发中，敏感功能的访问应当通过current_user_can()等函数进行权限检查，确保只有具备相应角色的用户才能访问。然而，该插件在实现调试日志查看功能时，未能正确实施基于用户角色的访问控制策略。具体而言，插件的某些关键功能点缺少适当的权限验证检查，导致任何已认证用户（即使是最低权限的订阅者角色）都能通过直接访问特定的端点或调用特定函数来触发日志查看功能。攻击者可以利用这一缺陷，通过发送带有有效认证cookie的HTTP请求到插件的日志查看端点（如/admin-ajax.php或专门的查看页面），绕过正常的访问控制流程，直接获取调试日志内容。由于调试日志中通常包含详细的系统信息、错误消息、SQL查询语句以及可能的敏感配置信息，攻击者能够利用这些信息进行进一步的攻击侦察和漏洞利用。