Wordfence安全团队发布紧急安全公告，披露WordPress用户注册和会员插件User Registration & Membership存在严重权限提升漏洞。该漏洞被评为9.8/10危急级别，影响超过6万个使用此插件的网站。
漏洞详情
受影响插件
User Registration & Membership是一款用于构建会员网站的WordPress插件，允许网站所有者创建自定义注册表单、分配用户角色、将内容限制在订阅计划后面，并接受访问费用支付。该插件在WordPress官方插件库中活跃安装量超过6万。
漏洞类型：未认证权限提升
该漏洞属于未认证权限提升（Unauthenticated Privilege Escalation）类型。与之前LatePoint漏洞不同，此漏洞不需要任何认证即可利用。
漏洞原理
漏洞存在于会员注册功能的权限管理缺陷。插件在接受用户注册时，允许用户提交自定义角色，但未在服务器端强制执行允许的角色白名单。
服务器端白名单是一种安全控制机制，用于限制注册时可分配的用户角色。缺少此限制，系统会处理提交的任何角色值。
关键问题：攻击者可以在注册时提交”administrator”作为角色值，系统会接受并创建具有管理员权限的账户。
攻击者可执行的操作
成功创建管理员账户后，攻击者拥有对WordPress网站的完全控制权，可以执行以下操作：
- 安装或删除插件：添加恶意插件或删除安全插件
- 修改主题：植入恶意代码到主题文件中
- 上传恶意代码：通过媒体库或主题编辑器上传后门
- 创建或删除用户账户：添加更多攻击者账户或删除合法管理员
- 访问网站数据：窃取用户数据库、订单信息、客户资料
- 完全控制网站：重定向流量、植入恶意脚本、发送垃圾邮件
影响范围
| 项目 | 详情 |
|---|---|
| CVSS评分 | 9.8/10（危急） |
| 受影响版本 | 5.1.2及以下所有版本 |
| 安全版本 | 5.1.3及以上 |
| 受影响网站数 | 约6万+ |
| 利用条件 | 无需认证，任何人均可利用 |
修复措施
立即行动
该漏洞已在5.1.3版本中修复。修复措施包括：
- 在服务器端实施角色白名单限制
- 禁止用户在注册时提交特权角色（如administrator）
- 增加额外的权限验证机制
升级步骤
- 立即升级：将User Registration & Membership插件升级至5.1.3或更高版本
- 检查用户账户：审查所有管理员账户，确认无异常账户
- 修改管理员密码：建议所有管理员账户修改密码
- 检查网站文件：扫描主题文件、插件文件是否有恶意代码
- 查看访问日志：检查近期是否有异常的注册活动
紧急缓解措施（如无法立即升级）
如果暂时无法升级，可采取以下临时措施：
- 禁用会员注册：在插件设置中关闭前端注册功能
- 限制注册页面访问：通过.htaccess或防火墙限制注册页面访问
- 监控新用户：密切关注新注册用户的角色和权限
与LatePoint漏洞的对比
近期WordPress生态中连续出现两个高危权限提升漏洞：
| 对比项 | LatePoint漏洞 | User Registration漏洞 |
|---|---|---|
| CVSS评分 | 8.8/10 | 9.8/10 |
| 认证要求 | 需要Agent级别账户 | 无需认证 |
| 受影响网站 | 10万+ | 6万+ |
| 危险等级 | 高危 | 危急 |
User Registration漏洞的危险性更高，因为任何人均可利用，无需先获取任何级别的账户。
外贸独立站的安全建议
1. 立即安全审计
检查网站是否使用了User Registration & Membership插件：
- 登录WordPress后台
- 进入”插件”→”已安装插件”
- 搜索”User Registration”
- 如已安装，立即检查版本号
2. 建立安全更新流程
- 启用插件自动更新（至少安全更新）
- 订阅Wordfence等安全机构的安全公告
- 建立每周安全检查机制
3. 加强访问监控
- 安装安全插件（如Wordfence、Sucuri）进行实时监控
- 启用登录尝试限制
- 监控文件完整性变化
4. 定期备份
- 建立每日自动备份机制
- 备份存储在异地（非服务器本地）
- 定期测试备份恢复流程
总结
User Registration & Membership插件的未认证权限提升漏洞是近期WordPress生态中最严重的安全威胁之一。CVSS 9.8分的评分反映了其极高的危险性——无需任何认证即可完全控制网站。
对于使用此插件的外贸独立站，立即升级至5.1.3版本是当务之急。同时，建议审查近期创建的管理员账户，检查网站文件完整性，并建立长期的安全监控机制。
WordPress插件安全不容忽视。一个漏洞可能导致整个网站被控制，客户数据泄露，品牌声誉受损。保持警惕，及时更新，是保护外贸独立站安全的基本原则。
微信扫一扫 或 点击链接联系我