CVE-2025-9988Broadstreet WordPress插件在1.53.1及以下版本中存在严重的权限检查缺失漏洞。由于`create_advertiser` AJAX操作未正确验证用户权限，导致拥有订阅者及以上级别权限的攻击者可以利用此漏洞，在未经授权的情况下通过发送特制请求创建广告商账号。这一漏洞破坏了系统的访问控制策略，可能导致未授权的数据修改或功能滥用。
该漏洞的根源在于Broadstreet插件后端代码对`create_advertiser` AJAX动作的处理逻辑中缺乏必要的权限校验机制。在WordPress生态系统中，插件通过注册AJAX回调函数来处理前端发来的异步请求。通常，涉及敏感操作（如创建内容、修改设置）的回调函数必须调用`current_user_can()`来确认当前用户是否具备相应的管理权限（如`manage_options`）。然而，在受影响版本的代码中，开发者遗漏了这一关键检查。因此，当攻击者以订阅者（Subscriber）这一低权限角色登录后，只需构造一个指向`/wp-admin/admin-ajax.php`的POST请求，并附带参数`action=create_advertiser`及其他必要的广告商信息，服务器便会直接执行创建逻辑，而不会验证用户是否为管理员。这种逻辑漏洞属于典型的越权访问，使得攻击者能够利用低权限账号干扰系统正常业务逻辑，甚至可能通过大量创建垃圾数据影响服务可用性。