WordPress插件漏洞基础知识 | 第一部分
作者：Abhirup Konwar
4分钟阅读 · 2025年5月30日
WordPress中的用户角色
- 订阅者
- 投稿者
- 作者
- 编辑
- 管理员
为何大多数非授权的WordPress插件漏洞利用能够成功？:smiling_face_with_horns:
非认证用户的默认能力
WordPress的设计中，默认允许未经身份验证的用户向两个端点发送请求，即：
/wp-admin/admin-ajax.php
以及
/wp-admin/admin-post.php
你将看到的大多数非授权漏洞利用，通常都利用了上述两个端点。WordPress本身并不将此视为漏洞。
:keycap_1: 开发者对 is_admin() 函数的误用
开发者未能理解WordPress函数 is_admin() 的实际作用，仅从名称推测，认为它可能是在检查当前用户是否是管理员。如果是，则执行代码...
CSD0tFqvECLokhw9aBeRqpNzLTXFlojmzFn6OlyTg9W7yPlH9SKCym2Is1jKH0625HBgOTGbIPLZBtKMSjXFuBFc89auGp8aUdvwCRzBFzHtkakt75DmERwGpEHW3UcVXy7P62HUZfvC/J6UwyZRUg==
更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）
公众号二维码
公众号二维码
