漏洞速览
- 漏洞编号：
CVE-2026-16149 - 风险评分：
8.8（高危） - 首次披露：2026-08-22
- 最近更新：2026-08-22
- 软件类型：插件
- 软件标识：
security-hardener - 受影响版本：<= 2.4.4
- 修复版本：2.4.5
- 是否已修复：是
漏洞详情
WordPress 安全加固插件（Security Hardener）在所有版本直至 2.4.4 均存在权限校验缺失漏洞。 该漏洞的根源在于插件默认启用的用户枚举防护功能，其通过 secure_user_endpoints() 钩住 rest_endpoints 过滤器，将所有已注册处理器（包括 POST、PUT、PATCH、DELETE）的 permission_callback 统一替换为一个仅返回 is_user_logged_in() 的空闭包，从而完全剥离了 WordPress Core 原本在 /wp/v2/users 及 /wp/v2/users/(?
P<id>[d]+) 路由上强制执行的 create_users、promote_user、edit_users、delete_users 等能力检查。 这意味着任何已认证攻击者（只要拥有订阅者级别及以上权限）即可通过向 /wp/v2/users 发送 POST 请求并指定 administrator 角色来创建新的管理员账户，或通过 PUT/POST 请求 /wp/v2/users/<id> 重置现有管理员的密码。 由于 block_user_enum 选项默认开启，插件安装后即在所有请求中生效，无需任何特殊配置。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Privilege Escalation via REST API '/wp/v2/users' permission_callback Overwrite
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：zickzick2 – Sejong University of cyber security student
修复建议
- 按官方建议执行修复：更新至 2.4.5 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
