🔴 《严重安全漏洞：CVE-2026-12153》

CVSS 评分: 严重（9.8）　　状态: Received　　发布时间: 2026-07-08

漏洞简介

CVE-2026-12153 是存在于 WordPress 的 WP Learn Manager 插件中的一个授权绕过（authorization bypass）漏洞。该漏洞的根本原因在于插件未能正确验证用户是否具备执行特定操作的权限，对应 CWE-862：缺少授权（Missing Authorization）。

具体来说，该漏洞涉及插件中的多个文件，包括 includes/ajax.php 和 modules/jslearnmanager/model.php。由于权限检查缺失，未经身份验证的攻击者（unauthenticated attackers）可以利用该漏洞在受影响的 WordPress 站点上，从 WordPress.org 官方插件仓库安装并激活任意插件。

影响范围

  • 受影响软件：WP Learn Manager 插件（WordPress 插件）
  • 受影响版本：所有版本，包括 1.1.8 及更早版本（all versions up to, and including, 1.1.8）
  • CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    （攻击向量为网络，攻击复杂度低，无需权限，无需用户交互，影响范围不变，对机密性、完整性、可用性均为高影响）

风险分析

该漏洞的风险等级极高，具体分析如下：

  1. 攻击条件：攻击者无需任何身份认证，只需通过网络向目标站点发送特制请求即可触发漏洞。
  2. 攻击后果：
    • 任意插件安装与激活：攻击者可以远程安装并激活来自 WordPress.org 官方仓库的任何插件。这意味着攻击者能够引入恶意或存在其他漏洞的插件，从而进一步控制站点。
    • 完全站点接管：通过安装具有后门或远程命令执行功能的插件，攻击者可能获得对 WordPress 站点的完全控制权，包括修改网站内容、窃取用户数据、植入恶意代码等。
    • 横向渗透风险：如果目标站点所在的服务器托管了多个网站，攻击者可能利用该漏洞作为跳板，进一步攻击同一服务器上的其他站点。
  3. 综合影响：由于该漏洞允许未授权攻击者执行高权限操作（插件安装与激活），且无需任何交互，其实际危害等同于远程代码执行（Remote Code Execution, RCE）或权限提升（Privilege Escalation）。建议所有使用 WP Learn Manager 插件的用户立即升级到已修复版本或禁用该插件。

🔍 技术细节

字段 值
CVE ID CVE-2026-12153
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-862
发布时间 2026-07-08
最后更新 2026-07-08
状态 Received
数据来源 security@wordfence.com

🔗 参考链接