Case Theme User WordPress插件中出现的一个严重的身份验证绕过漏洞已成为重大安全威胁，未经身份验证的攻击者可利用该漏洞通过社交登录功能获取网站的管理员权限。

该漏洞编号为CVE-2025-5821，CVSS评分为9.8，影响该插件所有版本至1.0.3，估计对全球12,000个活跃安装实例造成影响。

这一安全漏洞使恶意攻击者能够完全绕过身份验证机制，只要他们知道或能够找到目标的电子邮件地址，就能获得对任何用户账户的未授权访问权限，包括管理员级别的权限。

这种漏洞之所以特别危险，是因为它的利用方式非常简单——攻击者无需复杂工具或丰富的技术知识，仅通过简单的HTTP请求就能加以利用。

该漏洞于2025年8月22日公开披露后，威胁 actor 几乎立即开始了主动利用，并在次日发起了攻击。

Wordfence的分析师通过其漏洞赏金计划发现了该漏洞，并指出该安全公司的防火墙已经拦截了超过20900次针对这一特定弱点的攻击尝试。

这种漏洞被迅速利用，表明它对那些寻求快速访问WordPress网站的网络犯罪分子具有吸引力。

该插件与多个高级主题捆绑在一起，大大扩大了独立安装之外的攻击面。

已发现攻击者试图利用常见模式猜测管理员电子邮件地址，例如[email protected]、[email protected]和[email protected]，这表明他们在多个目标上采用了系统性的攻击方法。

利用机制与代码分析

该漏洞源于Case_Theme_User_Ajax类中facebook_ajax_login_callback()函数的逻辑缺陷。

利用过程（来源——Wordfence）

该函数通过基于提供的电子邮件地址创建用户账户来处理社交登录请求，但在授予访问权限之前未能正确验证认证状态。

该漏洞利用过程包含两个不同阶段。首先，攻击者通过向/wp-admin/admin-ajax.php发送POST请求，使用自己的电子邮件地址注册一个临时用户账户，其中action参数被设置为facebook_ajax_login。

恶意载荷包含伪造的Facebook用户数据，例如data[name]=temp和data[email][email protected]，以此创建一个合法的用户会话。

在第二阶段，攻击者利用已建立的会话，通过使用相同的临时用户名但替换为受害者的电子邮件地址来提交另一个请求，从而以目标受害者的身份进行认证。

这段易受攻击的代码通过电子邮件获取用户信息，而非验证原始的身份验证令牌，这实际上将会话权限转移到了目标账户。

1.0.4版本发布的补丁通过在授予访问权限前实施适当的身份验证，解决了这一逻辑缺陷。

网站管理员应立即更新至最新版本，并检查其访问日志，查看来自已知恶意IP地址的可疑AJAX请求，这些IP地址包括2602:ffc8:2:105:216:3cff:fe96:129f和146.70.186.142。