漏洞速览
- 漏洞编号：
CVE-2026-15459 - 风险评分：
8.1（高危） - 首次披露：2026-08-05
- 最近更新：2026-08-05
- 软件类型：插件
- 软件标识：
wpmudev-updates - 受影响版本：<= 5.0.0
- 修复版本：5.0.1
- 是否已修复：是
漏洞详情
WPMU DEV Dashboard 插件在 5.0.0 及之前所有版本中存在身份验证绕过漏洞。 在尚未连接 WPMU DEV Hub 的站点（安装后的默认状态）下，用于 WDP-AUTH 请求签名校验的站点 API 密钥为空，导致 validatehash() 验证的签名可以被轻易伪造；5.0.0 版还移除了 validatenonce() 中的重放检查，且远程处理程序绑定在公开的 init 钩子上而没有任何权限校验。 攻击者无需身份验证即可调用特权 Hub 操作，包括从攻击者指定的 URL 安装并激活插件（从而实现远程代码执行）、删除插件和主题、升级 WordPress 核心，或通过 SSO 以管理员身份登录。
已连接 WPMU DEV 账户的站点拥有 64 位非空 API 密钥，不受此漏洞影响。 过去 24 小时内，Wordfence 已拦截 3,843 次针对该漏洞的攻击。
影响与风险
- 漏洞类型：Authentication Bypass to Arbitrary Plugin Installation (Remote Code Execution) via Forged WDP_AUTH HMAC on ?wpmudev-hub= Endpoint
- 风险说明：攻击者可在特定权限条件下触发任意插件安装，导致站点被进一步植入恶意组件。
- 研究人员：Austin Ginder – Anchor Hosting
修复建议
- 按官方建议执行修复：更新至 5.0.1 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
