CVE-2025-12655：Hippoo Mobile App for WooCommerce插件中的CWE-862授权缺失漏洞
严重性：中等 类型：漏洞
CVE-2025-12655
WordPress的Hippoo Mobile App for WooCommerce插件在所有版本至1.7.1（含）中存在因授权检查缺失导致的任意文件写入漏洞。这是由于REST API端点 /wp-json/hippoo/v1/wc/token/save_callback/{token_id} 注册时设置了 permission_callback => '__return_true'，从而允许未经身份验证的访问。这使得未经身份验证的攻击者能够通过此漏洞端点，向服务器上公开可访问的上传目录写入任意的JSON内容。
AI分析技术摘要
CVE-2025-12655是一个被归类为CWE-862（授权缺失）的漏洞，影响WordPress的Hippoo Mobile App for WooCommerce插件。根本原因是REST API端点 /wp-json/hippoo/v1/wc/token/save_callback/{token_id} 注册时将权限回调设置为 __return_true，这实际上禁用了任何授权检查。此错误配置允许未经身份验证的攻击者调用该端点，并向服务器上公开可访问的上传目录写入任意JSON内容。由于上传目录是暴露的，攻击者可能上传伪装成JSON的恶意文件，这些文件可被用于进一步的攻击，例如注入恶意脚本或Webshell，从而导致网站完整性受损。该漏洞影响该插件所有版本至1.7.1（含）。CVSS 3.1基础评分为5.3（中等），反映了网络攻击途径、复杂性低、无需权限、无需用户交互以及影响仅限于完整性。目前尚无公开可用的补丁或利用代码，但漏洞的性质使其相对容易被利用。该插件用于基于WooCommerce的电子商务网站，这类网站在欧洲很普遍，增加了潜在的受攻击面。该漏洞不直接影响保密性或可用性，但对数据完整性和网站可信度构成重大风险。
潜在影响
对于欧洲的组织，特别是依赖WooCommerce和Hippoo Mobile App插件的电子商务企业，此漏洞可能导致网站内容被未经授权的修改或恶意负载的注入。这会损害网络平台的完整性，可能破坏品牌声誉和客户信任。攻击者可以利用任意文件写入功能部署Webshell，从而促成进一步的攻击，如数据盗窃、网站污损或在网络内部进行横向移动。由于WooCommerce为欧洲很大一部分在线商店提供支持，风险还延伸到财务损失、不合规（例如，如果客户数据间接受影响，则违反GDPR）以及运营中断。该漏洞的利用不需要身份验证或用户交互，增加了自动化攻击的可能性。安全监控有限或插件过时的组织尤其脆弱。在拥有庞大电子商务市场和高WooCommerce采用率的国家，影响更为显著，攻击者可能找到更有利可图的目标。
缓解建议
- 一旦有可用版本，立即将Hippoo Mobile App for WooCommerce插件更新到解决此漏洞的版本。
- 在官方补丁发布之前，通过实施Web应用程序防火墙（WAF）规则来限制对易受攻击的REST API端点的访问，阻止对
/wp-json/hippoo/v1/wc/token/save_callback/*的未认证请求。 - 通过自定义
permission_callback来加强REST API权限，强制执行适当的授权检查，确保只有经过身份验证和授权的用户才能访问敏感端点。 - 监控上传目录中是否存在异常或意外的JSON文件，并及时删除任何可疑文件。
- 采用文件完整性监控来检测对Web可访问目录的未经授权更改。
- 限制Web服务器用户的权限，以防止执行上传的文件，并将写访问权限仅限于必要的目录。
- 定期进行安全审计和漏洞扫描，重点关注WordPress插件和REST API端点。
- 向开发和运维团队普及安全插件配置以及在没有适当授权的情况下暴露REST API端点的风险。
受影响国家
德国、英国、法国、荷兰、意大利、西班牙、波兰、瑞典