CVE-2026-18322

总结

WordPress 的 Smart Popup by Supsystic 插件在所有版本（包括 1.12.0）中均存在权限提升漏洞。这是由于 `classes/frame.php` 中 `havePermissions()` 函数存在权限映射冲突，`array_merge()` 会用基础控制器的值覆盖弹窗模块中受管理员限制的方法列表，从而静默地将 `save` 从受保护操作中移除；此外，订阅确认邮件嵌入了与未认证的 `wp_ajax_nopriv_save` 端点所接受的相同通用 `pps_nonce`，并且 `createWpSubscriber()` 中完全缺少任何服务器端角色允许列表，这些因素进一步加剧了该漏洞。这使得未认证攻击者可以利用从公开订阅确认邮件中获取的 nonce，向 `admin-ajax.php` 提交精心构造的 POST 请求，通过暴露的 `popupControllerPps::save()` 操作将 `params[tpl][sub_wp_create_user_role]` 设置为 `administrator`，然后触发已存储的确认流程，从而创建一个具有攻击者所选凭据的持久性 WordPress 管理员账户。

• CVE-2026-18322PoC

  针对 CVE-2026-18322 的根因分析、被动版本检测器及实验环境 PoC，该漏洞是 Smart Popup by Supsystic WordPress 插件中的未认证权限提升漏洞。