CVE-2026-76547 — Profile Builder < 4.0.1 中的 PHP 对象注入

研究员： Vivien Lebas 受影响的插件： Profile Builder（WordPress） 受影响版本： < 4.0.1 修复版本： 4.0.1 类型： PHP 对象注入（不安全的反序列化） CWE： CWE-502 OWASP： A8 – 不安全的反序列化 CVSS 3.1： 6.6（中危）— AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan： 已验证的安全公告

摘要

Profile Builder 的 Import/Export 附加组件在导入配置文件时，未验证被反序列化的数据类型。因此，高权限用户（管理员）可以通过导入精心构造的 JSON 文件来触发 PHP 对象注入。

该附加组件是一个免费扩展，默认处于禁用状态，并且 Profile Builder 本身不包含任何可用的 POP（面向属性编程）利用链。因此，要实现具体的危害，需要来自其他已安装插件或主题的合适 gadget。

受影响的组件

该漏洞存在于导入功能中：

/wp-admin/admin.php?page=pbie-import-export&tab=import

导入文件中的某个值在没有任何类型检查的情况下被传递给 WordPress 的 maybe_unserialize()。如果该值是一个序列化对象字符串，PHP 会在导入请求期间实例化指定的类并执行其魔术方法（__wakeup、__destruct）。

前提条件

• 已安装并启用 Profile Builder。
• 在 Profile Builder > Add-ons 中启用了免费的 Import and Export 附加组件（在默认安装中处于禁用状态——需要管理员手动开启）。
• 拥有管理员账户（manage_options）。在多站点环境中，导入操作受 manage_network 权限限制，因此需要网络/超级管理员；子站点的管理员会被拒绝。
• 目标环境中必须加载了带有可用魔术方法的类，注入的对象才能产生可观察的效果。Profile Builder 本身不包含任何此类类，因此下面的 payload 使用 Evil 作为占位符，代表已安装插件或主题所提供的此类类。

概念验证

1. 以管理员身份登录并打开：

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

2. 将以下内容保存为 payload.json：

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

3. 在 JSON File 字段中选择 payload.json，然后点击 Import。

结果

postmeta 值中的字符串被传递给 maybe_unserialize()，因此指定的类会被实例化，其魔术方法会在导入请求期间执行。

备注

• 外层键必须是 wppb-ul-cpt、wppb-rf-cpt 或 wppb-epf-cpt 之一，但实际创建的文章类型取自每个文章的 post_type 字段，因此该路径无需 Pro 许可证即可访问。
• 反序列化的对象不会被存储：生成的 meta 行为空。影响仅限于该请求期间所执行的内容。

影响

PHP 对象注入。借助来自其他已安装插件或主题的合适 gadget 链，这可能导致文件操作等行为，或者根据可用的 gadget，导致远程代码执行。

修复

将 Profile Builder 更新至 4.0.1 或更高版本。

披露

该漏洞已负责任地披露给供应商，并在修复程序发布后公布，仅供教育和防御目的使用。