漏洞速览
- 漏洞编号：
CVE-2026-109400 - 风险评分：
7.5（高危） - 首次披露：2026-10-15
- 最近更新：2026-10-15
- 软件类型：插件
- 软件标识：
instawp-connect - 受影响版本：<= 0.1.4.1
- 修复版本：0.1.4.2
- 是否已修复：是
漏洞详情
InstaWP Connect – 1-click WP Staging & Migration 插件在 0.1.4.1 及以下所有版本中存在权限提升漏洞。问题根源在于该插件通过 add_management_page() 注册管理页面时，以 InstaWP_Setting::get_allowed_role() 返回的角色名作为所需权限——WordPress 会将其解析为该角色持有者拥有的真实能力——同时 generate_section_field() 将 instawp_api_options 中的主 API 明文密钥直接渲染为纯文本 HTML input 的 value 属性，且未进行额外的 manage_options 或同等能力检查。因此，任何具有 Subscriber 级别及以上权限的已认证攻击者都可以读取该明文主 API 密钥，将其 SHA-256 哈希值作为插件 REST API validate_api_request() 接受的 bearer token，随后调用 POST /wp-json/instawp-connect/v2/auto-login 生成一个 30 秒有效的单次登录链接，从而获取管理员身份认证 cookie，实现完整权限提升。漏洞利用的前提是站点必须处于与 InstaWP 主动连接状态，且管理员已将攻击者的角色添加至插件的"同步标签页访问列表"（instawp_sync_tab_roles）中；值得注意的是，设置标签页的隐藏逻辑仅在列表中完全不含 administrator 时才会生效，这意味着只要管理员角色与其他较低权限角色同时存在于列表中，较低权限用户仍可访问完整的设置页面——包括 API 密钥。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Privilege Escalation via Role-as-Capability Admin Page and API Key Disclosure via 'instawp_sync_tab_roles' Role-as-Capability Setting
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：thevietronin – GalaxyOne
修复建议
- 按官方建议执行修复：更新至 0.1.4.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
