CVE-2026-5130WordPress的Debugger & Troubleshooter插件在1.3.2及之前版本中存在未授权权限提升漏洞。由于该插件直接接受wp_debug_troubleshoot_simulate_user cookie的值作为用户ID，且未进行任何加密验证或授权检查，攻击者可以通过修改该Cookie来绕过身份验证，模拟任意用户（包括管理员）。这可能导致攻击者完全接管受影响的WordPress网站，执行创建管理员账户、修改内容、安装插件等高危操作。
该漏洞的核心原因在于插件错误地处理了用户模拟逻辑。插件通过覆盖WordPress的determine_current_user过滤器来实现用户切换功能，但在处理wp_debug_troubleshoot_simulate_user cookie时，直接将其值作为当前登录用户的ID返回，而未验证请求者的身份或Cookie的有效性。正常逻辑应包含管理员授权和令牌验证，但受影响版本完全缺失这些安全机制。攻击者无需任何认证，只需将浏览器Cookie中的wp_debug_troubleshoot_simulate_user值设置为管理员账户的ID（通常为1），即可欺骗系统认为其已以管理员身份登录。利用此漏洞，攻击者能够执行任意管理员操作，包括上传WebShell、篡改数据等，导致站点完全沦陷。1.4.0版本通过引入基于加密令牌的验证机制修复了此问题。