平台
wordpress
组件
debugger-troubleshooter
修复版本
1.3.3
CVE-2026-5130 是 WordPress 的 Debugger & Troubleshooter 插件中的一个未授权权限提升漏洞。该漏洞允许未经身份验证的攻击者通过设置特定的 cookie 值来模拟任何用户，从而获得管理员权限。受影响的版本包括 1.3.2 及更早版本。此漏洞已在 1.4.0 版本中修复。
WordPress 的 Debugger & Troubleshooter 插件中的 CVE-2026-5130 允许未经身份验证的特权提升。版本高达 1.3.2 的插件存在漏洞。问题在于该插件直接接受 wpdebugtroubleshootsimulateuser cookie 的值作为用户 ID，而没有进行任何加密验证或授权检查。这使得未经身份验证的攻击者只需将 cookie 设置为目标的用户名，即可冒充任何用户。此漏洞可能允许攻击者访问敏感信息、代表其他用户执行操作，甚至完全控制 WordPress 网站。
攻击者可以通过创建一个带有管理员或其他特权用户用户 ID 值的 cookie 来利用此漏洞。可以使用用户浏览器中的 JavaScript 或其他 cookie 操作技术设置此 cookie。设置 cookie 后，插件将使用此值来确定当前用户，从而允许攻击者作为该用户执行操作。由于此漏洞易于利用，因此对 WordPress 网站构成重大风险。
漏洞利用状态
EPSS
0.02% (6% 百分位)
CISA SSVC
解决此漏洞的方法是将 Debugger & Troubleshooter 插件更新到 1.4.0 或更高版本。此版本通过实现 wpdebugtroubleshootsimulateuser cookie 值的适当验证以及在确定当前用户之前验证授权来修复此问题。同时，作为临时缓解措施，如果插件不是绝对必要的，建议禁用该插件。及时应用此更新对于保护您的 WordPress 网站免受潜在攻击至关重要。
更新到版本 1.4.0 或更新的已修复版本
漏洞分析和关键警报直接发送到您的邮箱。
这是一种攻击，允许具有有限权限的用户访问他们通常无法访问的功能或数据。
检查 Debugger & Troubleshooter 插件的版本。如果版本早于 1.4.0，则容易受到攻击。
在您能够更新插件之前，暂时禁用该插件。
确保所有插件和 WordPress 内核都是最新的。使用强密码并考虑实施 Web 应用程序防火墙 (WAF)。
您可以在 CVE 漏洞数据库中找到更多信息：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-5130
CVSS 向量
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。