CVE-2025-12512: CWE-200 GenerateBlocks插件中未经授权访问者的敏感信息暴露
严重性：中等 类型：漏洞
漏洞描述
WordPress的GenerateBlocks插件在2.1.2及之前版本中存在信息暴露漏洞，原因是缺少对象级授权检查。这是由于插件在 generateblocks/v1/meta/ 路径下注册了多个REST API路由，仅使用 current_user_can('edit_posts') 来控制访问权限，而此权限被授予诸如“投稿者(Contributor)”之类的低权限角色。API处理程序接受任意的实体ID（用户ID、文章ID等）和元键，仅通过一个简短的黑名单（包含密码类键）进行保护，便返回所请求的元数据。系统没有对象级授权机制来确保调用者只能请求自己的数据，也没有安全键的白名单。这使得经过身份验证的攻击者，只要拥有投稿者或更高级别的访问权限，就可以通过暴露的端点，利用 get_user_meta_rest 函数直接查询用户元键，从而窃取管理员账户或任何其他用户的个人身份信息(PII)及其他敏感资料。在典型的WordPress + WooCommerce环境中，这包括WooCommerce存储在用户元中的姓名、电子邮件、电话和地址字段，可能导致定向网络钓鱼、账户接管、借口攻击和隐私侵犯。
技术摘要
WordPress GenerateBlocks插件在2.1.2及之前版本中存在一个被归类为CWE-200（向未经授权的行动者暴露敏感信息）的漏洞。该漏洞的产生是因为插件在路径 generateblocks/v1/meta/ 下注册了多个REST API路由，而这些路由仅通过能力检查 current_user_can('edit_posts') 进行保护。此能力被授予诸如“投稿者”之类的低权限角色，这意味着拥有相对有限权限的用户也能访问这些端点。API处理程序接受任意的实体ID（例如用户ID或文章ID）和元键，并返回相应的元数据。该插件仅实现了一个最小的密码类键黑名单，但缺乏对象级授权检查来确保请求用户只能访问自己的数据。同时，也没有安全元键的白名单，这使得攻击者可以查询任何用户元数据。在与WooCommerce集成的WordPress环境中，这些元数据通常包含存储在用户元字段中的敏感个人身份信息(PII)，例如姓名、电子邮件地址、电话号码和物理地址。拥有投稿者级别访问权限的攻击者可以利用此缺陷，通过暴露的REST API端点（特别是通过 get_user_meta_rest 函数）直接查询用户元键，从而窃取管理员或其他用户的敏感资料。这种暴露可能导致定向网络钓鱼活动、社会工程学和账户接管企图。该漏洞的CVSS 3.1基础得分为4.3（中等严重性），反映了其需要低权限身份验证、无需用户交互、仅影响机密性而不影响完整性和可用性的特点。目前尚无公开的补丁或利用程序，但对于拥有投稿者级别用户和敏感用户数据的站点而言，风险仍然显著。
潜在影响
对于欧洲组织而言，此漏洞主要通过未经授权披露存储在WordPress用户元字段中的个人身份信息(PII)构成隐私和安全风险，尤其是在电子商务业务中常见的WooCommerce环境。姓名、电子邮件、电话号码和地址的暴露可能导致定向网络钓鱼攻击、社会工程学和借口攻击，进而可能导致账户接管和更广泛的破坏。处理敏感客户或员工数据的组织在此类数据泄露时，面临违反《通用数据保护条例》(GDPR)和其他隐私法规的风险。该漏洞不直接影响系统完整性或可用性，但会破坏信任并可能造成声誉损害。由于投稿者级别的用户可以利用此漏洞，内部威胁或被入侵的低权限账户可能加剧数据暴露。使用带有GenerateBlocks和WooCommerce的WordPress的欧洲电子商务平台、中小企业和公共部门网站尤其脆弱。中等的CVSS评分反映了其影响程度适中，但存在与隐私泄露和监管不合规相关的重大下游后果的潜力。
缓解建议
- 一旦供应商发布修复此漏洞的版本，立即将GenerateBlocks插件更新到该版本。关注供应商的补丁公告。
- 在补丁可用之前，通过自定义权限或使用可以限制REST API访问的安全插件，限制投稿者及其他低权限用户角色访问REST API端点。
- 实施Web应用防火墙(WAF)规则，以检测和阻止针对
generateblocks/v1/meta/端点并带有任意用户ID或元键的可疑REST API请求。 - 审计用户角色和权限，尽量减少拥有投稿者或更高权限的用户数量，尤其是在面向公众的网站上。
- 审查和清理由WooCommerce或其他插件存储的用户元数据，以尽量减少敏感信息暴露。
- 启用REST API访问日志记录和监控，以检测表明数据抓取或侦察的异常模式。
- 教育管理员和用户关于PII泄露带来的网络钓鱼风险，并实施强身份验证机制（如多因素认证MFA）以降低账户接管风险。
- 如果站点功能不需要，考虑完全禁用或限制REST API，可以使用插件或自定义代码。
- 定期进行安全评估和渗透测试，重点关注REST API端点和用户元数据暴露。
受影响国家
德国、法国、英国、荷兰、意大利、西班牙、波兰、瑞典
来源： CVE Database V5 发布日期： 2025年12月13日，星期六