ExactMetrics 7.1.0 - 9.0.2 - 认证 (自定义) 不当权限管理导致通过设置更新实现角色权限提升

攻击者可以利用此漏洞绕过权限控制，从而获得对插件功能的未经授权的访问。例如，攻击者可以修改save_settings选项，以授予低权限用户管理员级别的访问权限。这可能导致数据泄露、恶意配置更改，甚至完全控制WordPress网站。由于ExactMetrics插件广泛使用，且通常包含敏感的网站分析数据，因此该漏洞的潜在影响非常大。如果攻击者能够控制插件设置，他们可以进一步利用这些权限来执行其他恶意活动，例如植入后门或窃取用户数据。

WordPress websites utilizing the ExactMetrics plugin, particularly those with multiple user roles and delegated administrative privileges, are at risk. Shared hosting environments where plugin settings are not tightly controlled are also more vulnerable. Websites relying on ExactMetrics for critical analytics data are especially susceptible to the impact of a successful exploit.

• wordpress / composer / npm:

grep -r 'exactmetrics_save_settings' /var/www/html/wp-content/plugins/exactmetrics/

• wordpress / composer / npm:

wp plugin list --status=active | grep exactmetrics

• wordpress / composer / npm:

wp plugin update exactmetrics --all

1. 2026-03-10Disclosure

   disclosure

1. 已保留2026-02-05
2. 发布日期2026-03-10
3. 修改日期2026-03-11
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将ExactMetrics插件升级至9.0.3或更高版本。如果升级会导致网站中断，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以考虑使用Web应用防火墙（WAF）来阻止对update_settings()函数的恶意请求。WAF规则应检查请求中的设置名称，并拒绝任何不在白名单中的设置。最后，定期审查插件权限，确保只有必要的角色才能访问敏感功能。

活跃安装数

300K已知

插件评分