漏洞速览
- 漏洞编号：
CVE-2026-104799 - 风险评分：
8.8（高危） - 首次披露：2026-11-03
- 最近更新：2026-11-03
- 软件类型：插件
- 软件标识：
mobile-builder - 受影响版本：<= 1.4.2
- 是否已修复：否
漏洞详情
Mobile builder 这款 WordPress 插件存在权限提升漏洞，所有1.4.2 及以下版本均受影响。漏洞位于 POST /mobile-builder/v1/wcfm-profile-settings 暴露的 wcfmmp_profile_settings() REST 处理函数中。根本原因有两点：一是 meta key 白名单检查采用了 PHP 松散比较逻辑缺陷，strpos( $key, 'mobile_builder' ) == 0实际上对任何不包含 mobile_builder 子串的 key 都会返回 true，因为 strpos() 在未匹配时返回 false，而 PHP 中 false == 0 成立；二是配套的 permission_callback（user_permissions_check）仅通过 $user->exists() 校验，未做任何权限区分，从而放行任意已认证用户。综合来看，具备订阅者（Subscriber）及以上权限的认证攻击者，可以通过 key 与 data 参数传入未经清理的 data 数组，直接写入 update_user_meta()，覆盖自己账号上的任意用户元数据，其中包括 wp_capabilities 元键，从而将自己提升为管理员（Administrator）权限。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Privilege Escalation to wcfm-profile-settings REST Route 'key'/'data' Parameters
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：sermsak – WordPress plugin security researcher
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
