Truelysell Core <= 1.8.7 - 通过注册进行未授权权限提升

该漏洞的潜在影响非常严重。攻击者可以利用此漏洞绕过身份验证机制，创建具有管理员权限的账户。一旦成功，攻击者将能够完全控制受影响的WordPress网站，包括修改内容、安装恶意插件、窃取敏感数据，甚至完全接管服务器。攻击者可以利用这些权限进行数据泄露、恶意软件传播、网站篡改等活动，对网站运营者和用户造成重大损失。由于Truelysell Core插件的功能可能涉及用户数据管理，因此该漏洞可能导致用户个人信息泄露。

1. 已保留2025-08-04
2. 发布日期2026-02-14
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将Truelysell Core插件升级到1.8.8版本或更高版本。如果升级过程出现问题，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以考虑使用Web应用防火墙（WAF）来阻止恶意请求，并配置WordPress插件的权限控制，限制用户对敏感功能的访问。建议定期审查WordPress插件的权限设置，确保其符合最小权限原则。