安全研究人员近日披露，WordPress地图插件WP Maps Pro存在一个严重权限提升漏洞（CVE-2026-8732），允许攻击者在受影响站点上创建具有管理员权限的账户。该漏洞已在野外被积极利用，据Wordfence背后的安全公司Defiant观察，仅在一天内就检测到并阻止了超过3600次利用尝试。
漏洞细节与利用情况
WP Maps Pro是一款付费WordPress插件，主要用于创建可定制地图、交互式商店定位器等，支持Google Maps或OpenStreetMap。根据Envato Market的数据，该插件当前被超过15000个网站使用。研究人员David Brown率先披露了此漏洞，指出插件存在通过创建管理员账户实现权限提升的问题。该漏洞的CVSS评分为9.8分（严重级），影响WP Maps Pro 6.1.0及更早版本。
Defiant公司研究人员详细描述了攻击过程：当请求将check_temp参数设置为false时，插件函数会通过wp_insert_user()创建新WordPress用户，并硬编码管理员角色。系统会自动生成随机用户名，使用硬编码的电子邮件地址support@flippercode.com，然后通过generate_login_link()生成一个“魔法登录链接”，存储在用户元数据中并返回在响应体中。攻击者可借此链接直接登录具有管理员权限的账户，从而完全控制目标网站。
补丁发布与安全建议
在最初披露后的四天，即5月20日，插件开发商发布了修复版本6.1.1。所有使用WP Maps Pro的用户都应立即升级至此版本，以避免遭受攻击。由于WordPress生态系统庞大，插件和主题数量众多，类似漏洞不断出现，保持软件及时更新是防范此类攻击的关键措施。
本文参考来源：TechRadar
微信扫描下方的二维码阅读本文
