CVE-2026-24978 CVSS 8.8 高危

CVE-2026-24978 Jobica Core对象注入漏洞

披露日期: 2026-03-25

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-24978

漏洞类型

反序列化漏洞

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

NooTheme Jobica Core

漏洞概述

CVE-2026-24978是NooTheme Jobica Core插件中发现的高危漏洞。该漏洞源于对不受信任数据的反序列化处理不当，允许攻击者进行PHP对象注入。在低权限用户认证下，攻击者无需交互即可利用此漏洞，可能导致远程代码执行，严重威胁服务器的机密性、完整性和可用性。受影响版本涵盖1.4.1及之前所有版本。

技术细节

该漏洞的根源在于Jobica Core插件在特定功能中使用了不安全的反序列化函数处理用户可控的输入数据。在PHP应用生态中，`unserialize()`函数能够将字符串还原为PHP对象。攻击者通过分析应用程序代码，寻找可利用的“POP链”（Property Oriented Programming），并构造特制的序列化字符串。当该插件解析此恶意数据时，会自动触发对象的魔术方法（如__wakeup()或__destruct()）。如果这些方法中调用了敏感操作（如文件写入、删除文件、数据库查询或系统命令执行），攻击者即可通过控制对象属性参数来操纵应用逻辑，进而写入Webshell或执行系统命令。鉴于CVSS向量显示攻击复杂度低且无需用户交互，该漏洞极易被自动化工具大规模利用，造成严重的数据泄露或服务器沦陷。

攻击链分析

STEP 1

侦察

攻击者识别出目标WordPress站点使用了存在漏洞的NooTheme Jobica Core插件（版本<=1.4.1）。

STEP 2

构造Payload

分析插件代码，寻找可利用的POP链，生成包含恶意对象属性的序列化字符串。

STEP 3

发送请求

攻击者以低权限用户身份，向插件接口发送包含恶意序列化数据的HTTP请求。

STEP 4

触发反序列化

服务器端接收数据并调用unserialize()函数，还原对象并自动触发魔术方法。

STEP 5

执行攻击

利用魔术方法中的危险函数，执行任意系统命令或写入恶意文件，控制服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL endpoint vulnerable to deserialization
# This is a generic example for demonstration
target_url = "http://example.com/wp-admin/admin-ajax.php"

# Example generic PHP serialized payload
# In a real scenario, this would be a specific gadget chain
# that leads to RCE, e.g., utilizing a class available in the theme.
payload = "O:8:\"stdClass\":1:{s:3:\"cmd\";s:9:\"whoami\";}"

data = {
    "action": "jobica_import_data",  # Hypothetical action parameter
    "import_file": payload
}

try:
    response = requests.post(target_url, data=data)
    print(f"Status Code: {response.status_code}")
    print(f"Response: {response.text}")
except Exception as e:
    print(f"An error occurred: {e}")

影响范围

Jobica Core <= 1.4.1

防御指南

临时缓解措施

如果无法立即升级插件，建议暂时禁用Jobica Core插件的功能。管理员应检查服务器日志，寻找是否存在异常的反序列化请求活动。同时，可以通过修改PHP配置或服务器规则，禁止对不受信任来源的数据进行反序列化操作，并加强对低权限用户的API接口调用监控。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表