OttoKit WordPress插件高危漏洞分析与防护指南

漏洞概述

OttoKit（原SureTriggers）WordPress插件近期曝出两个正被活跃利用的高危安全漏洞：

1. CVE-2025-27007 - 权限提升漏洞

   • CVSS评分：9.8（严重）
   • 影响版本：1.0.82及之前所有版本
   • 漏洞类型：权限检查缺失+认证凭证验证不充分

2. CVE-2025-3102 - 另一个高危漏洞

   • CVSS评分：8.1（高危）
   • 自2025年4月起已被野外利用

漏洞技术细节

CVE-2025-27007 技术分析

漏洞位置：create_wp_connection()函数

根本原因：

1. 函数未执行适当的权限检查
2. 用户认证凭证验证不充分

利用条件：

• 网站从未启用或使用过应用密码
• OttoKit插件此前未通过应用密码连接过网站
• 攻击者已通过认证访问网站并能生成有效的应用密码

攻击流程：

1. 攻击者利用初始连接漏洞建立与网站的连接
2. 通过automation/action端点创建管理员账户

组合攻击模式

攻击者正在同时利用这两个漏洞进行组合攻击：

1. 扫描WordPress站点检测是否存在这两个漏洞
2. 利用CVE-2025-27007建立初始连接
3. 利用CVE-2025-3102进行后续攻击

攻击者信息

已观测到的攻击源IP地址：

2a0b:4141:820:1f4::2
41.216.188.205
144.91.119.115
194.87.29.57
196.251.69.118
107.189.29.12
205.185.123.102
198.98.51.24
198.98.52.226
199.195.248.147

影响范围

• 活跃安装量：超过100,000+
• 攻击时间线：
  • 2025年5月2日：可能开始活跃利用
  • 2025年5月4日：大规模攻击开始

防护措施

紧急修复方案

1. 立即升级至1.0.83或更高版本
2. 检查网站是否已被入侵：
   • 检查是否有异常管理员账户
   • 检查automation/action端点的访问日志
3. 如果无法立即升级：
   • 临时禁用OttoKit插件
   • 设置防火墙规则阻止攻击源IP

长期防护建议

1. 保持插件更新：启用自动更新功能
2. 最小权限原则：
   • 限制WordPress管理员账户数量
   • 使用强密码策略
3. 安全监控：
   • 部署Web应用防火墙(WAF)
   • 启用安全日志记录和监控
4. 定期审计：
   • 检查插件权限设置
   • 审查用户账户列表

参考资源

• Wordfence安全团队分析报告
• CVE官方数据库条目：CVE-2025-27007、CVE-2025-3102
• WordPress插件官方更新日志

总结

OttoKit插件的这两个高危漏洞正在被广泛利用，攻击者采用组合攻击方式，威胁严重。所有使用该插件的网站管理员应立即采取行动，按照上述指南进行防护和修复，以避免网站被入侵和数据泄露的风险。