自定义登录页面定制器 <= 2.5.3 - 通过密码重置进行未授权权限提升

此漏洞的影响非常严重，攻击者可以完全接管 WordPress 网站的管理权限。通过修改管理员密码，攻击者可以执行任何操作，包括删除数据、安装恶意软件、更改网站配置，甚至完全控制服务器。这种攻击模式类似于其他账户接管漏洞，可能导致网站数据泄露、服务中断和声誉受损。如果网站存储了敏感信息，例如用户数据或财务信息，那么此漏洞的风险将进一步增加。

WordPress websites utilizing the Custom Login Page Customizer plugin, particularly those running versions prior to 2.5.4, are at significant risk. Shared hosting environments where multiple websites share the same server are especially vulnerable, as a compromise on one site could potentially lead to lateral movement and impact other sites. Sites with weak password policies or a lack of multi-factor authentication are also at increased risk.

• wordpress / composer / npm:

grep -r "wp_update_user_password" /var/www/html/wp-content/plugins/custom-login-page-customizer/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'custom-login-page-customizer'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status custom-login-page-customizer

1. 2026-01-08Disclosure

   disclosure

1. 已保留2025-12-19
2. 发布日期2026-01-08
3. 修改日期2026-02-04
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Custom Login Page Customizer 插件升级到 2.5.4 版本。如果无法立即升级，可以考虑临时禁用插件，以防止攻击者利用此漏洞。此外，建议实施更严格的密码策略，例如强制使用强密码和定期更改密码。如果怀疑已经发生攻击，应立即检查用户账户，并更改所有密码。使用 WordPress 插件安全扫描工具可以帮助检测潜在的漏洞。