Lightspeed Ecwid 电商购物车的 <= 7.0.7 版本 - 认证 (订阅者+) 权限提升漏洞，通过 ec_store_admin_access

该漏洞的潜在影响非常严重。攻击者可以利用此漏洞绕过正常的权限控制，获得对 Ecwid 商店的完全控制权。这包括访问敏感数据，修改产品信息，处理订单，甚至更改商店配置。攻击者可以利用这些权限进行欺诈活动，窃取客户信息，或破坏商店的运营。由于该漏洞只需要订阅者权限即可触发，因此攻击者无需进行复杂的攻击，即可获得高权限。

Websites utilizing the Ecwid by Lightspeed Ecommerce Shopping Cart plugin for WordPress, particularly those with a large number of subscriber-level users or those who have not implemented robust user role management practices, are at significant risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise on one site could potentially lead to lateral movement and exploitation of other sites using the vulnerable plugin.

• wordpress / composer / npm:

grep -r 'ec_store_admin_access' /var/www/html/wp-content/plugins/ecwid/includes/user-profile.php

• wordpress / composer / npm:

wp plugin list | grep ecwid

• wordpress / composer / npm:

wp plugin update ecwid

1. 2026-02-15Disclosure

   disclosure

1. 已保留2026-02-02
2. 发布日期2026-02-15
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Ecwid 电子商务购物车插件升级到 7.0.8 或更高版本。如果升级会导致兼容性问题，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以实施一些额外的安全措施，例如限制用户可以修改的用户资料字段，并加强对用户权限的管理。监控 WordPress 日志，查找任何异常的用户资料更新活动，可以帮助及早发现潜在的攻击。