CVE-2025-12512：GenerateBlocks插件中的敏感信息泄露漏洞

漏洞概述

严重性：中等类型：漏洞 CVE编号：CVE-2025-12512

GenerateBlocks WordPress插件在2.1.2及之前版本中存在信息泄露漏洞，原因是缺少对象级授权检查。这是由于插件在generateblocks/v1/meta/路径下注册了多个REST API路由，这些路由仅使用current_user_can('edit_posts')进行访问控制，而该权限被授予贡献者等低权限角色。

API处理程序接受任意实体ID（用户ID、文章ID等）和元键，返回任何请求的元数据，仅使用简短的密码类键黑名单进行保护。没有对象级授权确保调用者只能请求自己的数据，也没有安全键的白名单。

这使得经过身份验证的攻击者（具有贡献者级别及以上权限）能够通过暴露的端点，特别是通过get_user_meta_rest函数，直接查询用户元键，从而窃取管理员账户或任何其他用户的个人身份信息和其他敏感资料数据。

在典型的WordPress + WooCommerce设置中，这包括WooCommerce存储在用户元数据中的姓名、电子邮件、电话和地址字段，可能引发针对性网络钓鱼、账户接管借口和隐私泄露。

技术分析

GenerateBlocks WordPress插件在2.1.2及之前版本中存在被归类为CWE-200（向未授权参与者暴露敏感信息）的漏洞。该漏洞的产生是因为插件在路径generateblocks/v1/meta/下注册了多个REST API路由，这些路由仅通过能力检查current_user_can('edit_posts')进行保护。

该能力被授予贡献者等低权限角色，这意味着权限相对有限的用户可以访问这些端点。API处理程序接受任意实体ID（如用户ID或文章ID）和元键，返回相应的元数据。插件仅实现了最小化的密码类键黑名单，但缺少对象级授权检查来确保请求用户只能访问自己的数据。也没有安全元键的白名单，允许攻击者查询任何用户元数据。

在与WooCommerce集成的WordPress设置中，这些元数据通常包含存储在用户元字段中的敏感个人身份信息，如姓名、电子邮件地址、电话号码和物理地址。具有贡献者级别访问权限的攻击者可以利用此缺陷，通过暴露的REST API端点（特别是通过get_user_meta_rest函数）直接查询用户元键，窃取管理员或其他用户的敏感资料数据。

这种暴露可能促进针对性网络钓鱼活动、社会工程和账户接管尝试。该漏洞的CVSS 3.1基础评分为4.3（中等严重性），反映了它需要低权限身份验证、无需用户交互且仅影响机密性，不影响完整性或可用性。目前尚无公开的补丁或利用程序，但对于拥有贡献者级别用户和敏感用户数据的站点，风险仍然显著。

潜在影响

对于欧洲组织，此漏洞主要通过未经授权披露存储在WordPress用户元字段中的个人身份信息（尤其是在电子商务企业中常见的WooCommerce环境中）构成隐私和安全风险。暴露姓名、电子邮件、电话号码和地址可能导致针对性网络钓鱼攻击、社会工程和借口，可能引发账户接管和更广泛的损害。

如果此类数据泄露，处理敏感客户或员工数据的组织可能面临违反GDPR和其他隐私法规的风险。该漏洞不直接影响系统完整性或可用性，但会破坏信任并可能造成声誉损害。

由于贡献者级别的用户可以利用此缺陷，内部威胁或受损的低权限账户可能加剧数据暴露。使用WordPress与GenerateBlocks和WooCommerce的欧洲电子商务平台、中小企业和公共部门网站尤其脆弱。中等CVSS评分反映了中等影响，但与隐私泄露和监管不合规相关的潜在下游后果可能很严重。

缓解建议

一旦供应商发布修复此漏洞的版本，立即将GenerateBlocks插件更新至该版本。监控供应商公告以获取补丁信息。
在补丁可用之前，通过自定义权限或使用可限制REST API访问的安全插件，限制贡献者和其他低权限用户角色访问REST API端点。
实施Web应用防火墙规则，以检测和阻止针对generateblocks/v1/meta/端点并带有任意用户ID或元键的可疑REST API请求。
审计用户角色和权限，最小化具有贡献者或更高权限的用户数量，尤其是在面向公众的网站上。
审查和清理由WooCommerce或其他插件存储的用户元数据，以最小化敏感信息暴露。
启用REST API访问的日志记录和监控，以检测表明数据抓取或侦察的异常模式。
教育管理员和用户了解因泄露PII而引发的网络钓鱼风险，并强制执行强身份验证机制（如MFA）以降低账户接管风险。
如果站点功能不需要，考虑完全禁用或限制REST API，可使用插件或自定义代码实现。
进行定期的安全评估和渗透测试，重点关注REST API端点和用户元数据暴露情况。

受影响国家

德国、法国、英国、荷兰、意大利、西班牙、波兰、瑞典

技术详情

数据版本：5.2 分配者短名称：Wordfence 发布日期：2025年10月30日 15:01:41.942Z Cvss版本：3.1 状态：已发布 威胁ID：693ce0d37c4acd10e84d9254 添加到数据库：2025年12月13日 3:43:15 最后丰富：2025年12月13日 3:59:29 最后更新：2025年12月13日 21:54:27 浏览量：8

来源：CVE数据库 V5 发布日期：2025年12月13日