CVE-2026-3124：Download Monitor插件IDOR漏洞，<=5.1.7

下载监控 (Download Monitor) 插件存在一个不安全直接对象引用 (Insecure Direct Object Reference) 漏洞，影响所有版本，包括 5.1.7 及更早版本。攻击者可以通过 executePayment() 函数利用 PayPal 交易令牌和本地订单之间的不匹配来完成任意待处理的订单。具体来说，攻击者可以先购买一个低成本项目，获取有效的 PayPal 交易令牌。然后，利用该令牌来完成一个高价值订单，从而盗取付费数字商品。例如，攻击者可能购买一个价格为 1 美元的商品，获取一个交易令牌。随后，攻击者可以使用该令牌来完成一个价格为 100 美元的商品订单，从而无需支付全部费用即可获得该商品。这种攻击的范围取决于网站上提供的数字商品的价值。如果网站上销售高价值的数字商品，例如软件、电子书或课程，那么该漏洞造成的潜在损失将非常大。攻击者可能利用此漏洞大规模盗取商品，对网站的收入和声誉造成严重损害。此外，如果网站存储了用户的支付信息，攻击者还可能通过此漏洞间接获取敏感数据。

1. 已保留2026-02-24
2. 发布日期2026-03-30
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-06

为了修复 CVE-2026-3124 漏洞，请立即将下载监控插件升级到 5.1.8 或更高版本。这是最有效的解决方案，因为它直接修复了漏洞。如果无法立即升级，则可以考虑以下临时缓解措施：严格审查所有待处理订单，并验证 PayPal 交易令牌与订单之间的关联性。实施更严格的访问控制，限制对 executePayment() 函数的访问。定期监控网站的交易记录，以检测任何可疑活动。在升级插件后，务必验证修复是否成功。可以通过尝试模拟攻击场景来验证修复效果。如果升级后仍然存在问题，请联系下载监控插件的开发者寻求支持。升级插件时，建议先在测试环境中进行测试，以确保升级不会对网站的正常运行造成影响。升级后，建议清除 WordPress 缓存，以确保新的代码能够生效。