2026-03-09 02:01:55 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文分析CVE-2026-2446漏洞，影响PowerPackforLearnDash插件。漏洞源于AJAX接口缺失权限校验与CSRF防护，允许未认证攻击者修改配置实现管理员接管。受影响版本低于1.3.0，CVSS评分9.8。建议立即升级至1.3.3，排查异常配置项与可疑账户，提供了Snort规则与WAF拦截方案，具有高实战价值。 综合评分： 93 文章分类： 漏洞分析,漏洞预警,WEB安全,解决方案

cover_image

无需任何账户，一条请求接管整站：CVE-2026-2446 技术分析

原创

CVE-SEC CVE-SEC

CVE-SEC

2026年3月8日 10:00 四川

无需任何账户，一条请求接管整站：CVE-2026-2446 技术分析

CVE-2026-2446 | CVSS 9.8 | 披露时间：2026-03-06

漏洞速览

2026年3月6日，一个影响 WordPress 插件 PowerPack for LearnDash 的严重漏洞被公开披露，编号 CVE-2026-2446，CVSS 3.1 基础评分 9.8（满分10分）。

该漏洞允许攻击者在完全未登录的情况下，仅凭几条 HTTP 请求，将自己的账户提升为 WordPress 管理员，进而完全接管目标网站。整个过程无需任何凭据、无需用户配合、无需特殊前置条件。

受影响范围

受影响产品：PowerPack for LearnDash WordPress 插件，所有低于 1.3.0 的版本

安全版本：1.3.0 及以上（当前最新：1.3.3）

PowerPack for LearnDash 是面向 LearnDash LMS 的功能扩展插件，LearnDash 是 WordPress 生态中最主流的商业学习管理系统，其客户涵盖高校、财富500强企业及各类在线教育平台。使用该插件的站点通常存储学员个人信息、课程购买记录及企业内部培训材料，数据敏感性较高。

根据 WordPress.org 官方统计，该插件全球活跃安装量超过 1,000 个，历史总下载量约 26,591 次。

漏洞原理

要理解这个漏洞，需要先了解 WordPress 的 AJAX 机制。

WordPress 将所有插件的 AJAX 请求统一路由到 /wp-admin/admin-ajax.php 这个端点。插件通过注册两类钩子来响应请求：

wp_ajax_{action}：仅限已登录用户触发
wp_ajax_nopriv_{action}：未登录用户也可触发，但处理函数必须自行实现所有权限验证

这个设计本身没有问题，问题出在后者的使用方式上。当一个敏感操作被注册到 wp_ajax_nopriv_ 钩子，且处理函数内部没有做任何权限检查时，任何人都可以直接调用它。

CVE-2026-2446 正是如此。该插件的某个 AJAX 处理函数存在双重安全缺陷：

缺陷一：注册了 wp_ajax_nopriv_ 钩子，允许未登录用户触发，但函数体内没有调用 current_user_can() 验证操作权限。

缺陷二：没有调用 check_ajax_referer() 验证请求来源，意味着也没有任何 CSRF 防护。

更关键的是，这个没有任何访问控制的函数，直接将用户传入的参数写入了 WordPress 的核心配置表 wp_options，调用的是 update_option() 函数。

update_option() 是 WordPress 的底层工具函数，本身不做任何权限检查，WordPress 官方文档明确要求插件开发者在调用前自行验证权限。该插件忽略了这一要求。

wp_options 表存储着整个 WordPress 站点的全局配置，其中两个选项与本次漏洞直接相关：

users_can_register：控制是否开放用户注册，值为 1 时任何人可注册
default_role：控制新注册用户自动获得的角色，设为 administrator 后新用户即为管理员

攻击过程

攻击者无需账户，按以下步骤即可完全接管目标站点：

第一步：访问插件的 readme 文件，确认目标站点安装了低于 1.3.0 的受影响版本。

GET /wp-content/plugins/powerpack-for-learndash/readme.txt

第二步：发送未认证的 POST 请求，开启用户注册功能。

POST /wp-admin/admin-ajax.php
action=<漏洞action>&option_name=users_can_register&option_value=1

由于处理函数没有任何权限验证，服务器直接执行 update_option('users_can_register', '1')，用户注册入口立即对外开放。

第三步：再次发送未认证 POST 请求，将默认用户角色设为管理员。

POST /wp-admin/admin-ajax.php
action=<漏洞action>&option_name=default_role&option_value=administrator

第四步：在目标站点的注册页面完成注册。

POST /wp-login.php?action=register
user_login=attacker&[email protected]

由于 default_role 已被改为 administrator，新注册账户自动获得管理员权限。

第五步：以管理员身份登录 WordPress 后台，站点完全沦陷。

整条攻击链的技术门槛极低，可完全脚本化，适合大规模批量扫描攻击。更值得注意的是：即使漏洞被修复，攻击者创建的管理员账号仍然存在，需要站点管理员手动排查清除。

注：具体的 AJAX action 名称截至目前未在任何公开来源中披露，亦无已知在野利用记录和公开 PoC 代码。

漏洞成因的本质

这个漏洞在代码层面其实非常简单，根本成因是开发者对两个 WordPress 安全函数的忽视：

check_ajax_referer() &nbsp;防范 CSRF，验证请求合法性
current_user_can() &nbsp; &nbsp;防范未授权访问，验证操作权限

WordPress 官方安全文档对此有明确说明：nonce 只防 CSRF，不能代替权限验证；两者必须同时使用，缺一不可。将敏感操作注册到 wp_ajax_nopriv_ 钩子时，这两项检查是强制要求，不是可选项。

正确的实现应当：仅对需要匿名访问的功能注册 wp_ajax_nopriv_ 钩子；对所有敏感操作，只注册 wp_ajax_ 钩子（要求登录），并在函数体内同时验证 nonce 和用户权限；对可操作的选项名实施白名单限制，而不是让用户直接控制 $option 参数。

修复情况

官方已在 1.3.0 版本中修复该漏洞。值得一提的是，1.3.0 的 changelog 中以”Improved coding standards and tightened security”一句话带过了这次安全修复，并未提及 CVE 编号，这是 WordPress 插件生态中常见但不理想的安全披露方式，给用户评估风险带来了一定困难。

当前最新版本为 1.3.3，1.3.1 至 1.3.3 均为稳定性修复，与本次漏洞无关。

如果你在使用这个插件

立即将 PowerPack for LearnDash 升级至 1.3.3。升级后，执行以下核查：

检查关键配置是否被篡改

登录数据库或使用 WP-CLI，检查以下两个选项的当前值：

SELECT&nbsp;option_name, option_value&nbsp;FROM&nbsp;wp_options
WHERE&nbsp;option_name&nbsp;IN&nbsp;('default_role',&nbsp;'users_can_register');

正常情况下 default_role 应为 subscriber，users_can_register 应为 0（除非你的站点本身有开放注册的业务需求）。若发现异常，立即修正：

UPDATE&nbsp;wp_options&nbsp;SET&nbsp;option_value =&nbsp;'subscriber'&nbsp;WHERE&nbsp;option_name =&nbsp;'default_role';
UPDATE&nbsp;wp_options&nbsp;SET&nbsp;option_value =&nbsp;'0'&nbsp;WHERE&nbsp;option_name =&nbsp;'users_can_register';

排查可疑管理员账户

SELECT&nbsp;u.user_login, u.user_email, u.user_registered
FROM&nbsp;wp_users u
JOIN&nbsp;wp_usermeta m&nbsp;ON&nbsp;u.ID = m.user_id
WHERE&nbsp;m.meta_key =&nbsp;'wp_capabilities'
&nbsp;&nbsp;AND&nbsp;m.meta_value&nbsp;LIKE&nbsp;'%administrator%'
ORDER&nbsp;BY&nbsp;u.user_registered&nbsp;DESC;

重点关注近期注册、来源不明的管理员账户，确认后立即删除。

如果暂时无法升级，在升级前应立即禁用该插件，并通过 WAF 拦截以下流量特征：向 /wp-admin/admin-ajax.php 发出的、请求体中包含 default_role 或 users_can_register 字段的未认证 POST 请求。

检测规则（Snort/Suricata 参考）

alert http any any -> $HTTP_SERVERS any (
&nbsp; &nbsp; msg:"CVE-2026-2446 PowerPack LearnDash Unauth Option Update";
&nbsp; &nbsp; flow:to_server,established;
&nbsp; &nbsp; http.method; content:"POST";
&nbsp; &nbsp; http.uri; content:"/wp-admin/admin-ajax.php";
&nbsp; &nbsp; http.request_body; content:"default_role";
&nbsp; &nbsp; http.request_body; content:"administrator";
&nbsp; &nbsp; classtype:web-application-attack;
&nbsp; &nbsp; sid:2026244601;
&nbsp; &nbsp; rev:1;
)