【安全圈】WordPress 插件漏洞导致 10 万余个网站面临权限提升攻击风险

关键词

漏洞

一项严重的安全漏洞出现在广受欢迎的Advanced Custom Fields: ExtendedWordPress 插件中，已使10 万多个网站面临被完全接管的风险。

该漏洞编号为CVE-2025-14533，影响插件0.9.2.1 及之前版本，CVSS 评分高达9.8（严重）。

如果未及时修补，未认证的攻击者可以利用用户注册表单中角色处理机制的缺陷，直接获得管理员级别权限。

漏洞成因

该问题源于插件通过自定义表单创建用户的实现方式。网站管理员可使用字段组构建注册或用户资料表单，收集用户名、邮箱、密码以及用户角色等信息。

在正常情况下，新注册用户的角色应受到严格限制，通常只允许诸如“订阅者（subscriber）”等低权限角色。然而，在受影响的版本中，这一控制机制失效，为滥用打开了大门。

Wordfence 分析人员发现，当表单中映射了角色字段时，插件的 insert_user 表单动作并未正确限制注册过程中可分配的角色。

这意味着，攻击者可以提交一个精心构造的请求，即使前端界面限制了可选角色，也能在请求中将自己的角色设置为管理员。

一旦请求被处理，系统就会创建一个拥有完整管理员权限的账户。获得管理权限后，攻击者即可彻底控制受影响的 WordPress 网站。

潜在影响

攻击者在取得管理员权限后，可以：

• 上传带有后门的恶意插件或主题

• 篡改网站内容，将访客重定向至钓鱼或恶意网站

• 植入垃圾内容或 SEO 投毒代码

• 创建额外的管理员账户以维持长期访问权限

鉴于该插件安装量巨大，且在存在漏洞配置时利用门槛极低，只要网站将相关用户操作表单暴露在公网，就可能遭受严重影响。

修复与风险现状

在漏洞披露时，插件开发方已在0.9.2.2 版本中发布修复补丁，安全厂商也在防火墙层面提供了针对利用行为的拦截措施。

然而，那些尚未更新插件、且仅依赖应用层防护的网站，仍然是攻击者进行自动化扫描和入侵的理想目标。

漏洞详情一览表

字段

漏洞编号

CVE-2025-14533

插件名称

Advanced Custom Fields: Extended

插件标识

acf-extended

受影响版本

≤ 0.9.2.1

修复版本

0.9.2.2

漏洞类型

未认证权限提升

攻击向量

恶意用户注册表单提交

触发条件

存在映射了角色字段的公开表单

CVSS 评分

9.8（严重）

受影响安装量

10 万+ 活跃安装

发现者

andrea bocchetti（Wordfence 漏洞悬赏）

权限提升是如何实现的？

该漏洞的核心在于插件高度灵活的表单系统，其初衷是让站点管理员无需编写代码即可构建自定义的用户管理流程。

在典型配置中，管理员会定义一个字段组，包含用户信息字段，并将其关联到“创建用户”或“更新用户”的表单动作。其中一个字段可以是角色选择器，表面上受到“允许用户角色（Allow User Role）”设置的限制。

但在后台，当表单提交时，插件会在acfe_module_form_action_user类中调用insert_user()函数。该函数会收集所有提交的数据（包括角色字段），并直接传递给 WordPress 原生的wp_insert_user()函数。

问题在于，在受影响版本中，插件并未在后端强制执行字段组中配置的角色限制。前端设置营造了安全假象，但后端逻辑并未遵守这些规则。

因此，只要存在一个包含角色字段的公开表单，未认证攻击者就可以绕过可见的角色选项，在 HTTP 请求中自行指定角色（如 administrator）。由于插件未对该值进行校验或过滤，WordPress 会接受请求并创建一个拥有完整管理员权限的账户。

整个过程无需已有账号、社会工程学手段或密码猜测，直接构成一条通向网站完全失陷的通道。

一旦攻击者以管理员身份进入系统，便拥有与合法站点所有者相同的控制能力，可持续操纵和破坏网站。这使得CVE-2025-14533成为在特定配置存在时，导致 WordPress 网站被全面攻陷的高危漏洞。

安全圈

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！