CVE-2026-14603 (CVSS 7.5) - The WowOptin: Next-Gen Popup Maker WordPress plugin before 1.4.38 does not have
CVE-2026-14603 (CVSS 7.5) 影响WowOptin: Next-Gen Popup Maker WordPress插件，版本低于1.4.38。由于REST端点授权缺失，未认证攻击者能禁用所有opt-in表单并插入恶意模板，导致功能破坏、数据篡改及潜在XSS风险。立即升级或添加临时拦截规则以防御。
CVE-2026-14603 (CVSS 7.5) - The WowOptin: Next-Gen Popup Maker WordPress plugin before 1.4.38 does not have
📋 漏洞概述
WowOptin: Next-Gen Popup Maker WordPress插件未授权REST端点，允许未认证用户禁用所有表单并插入恶意数据。
📋 基础信息
| 受影响版本 | WowOptin: Next-Gen Popup Maker < 1.4.38 (WordPress plugin) |
| 漏洞类型 | 授权缺失（Missing Authorization） |
| CVSS | 7.5 · High |
| CVE | CVE-2026-14603 |
🔬 漏洞根因
插件中某个REST API端点缺少对用户身份和权限的验证。未认证的HTTP请求能够调用该端点，执行禁用所有opt-in表单以及向数据库插入新表单记录的操作。代码层面未实现`permission_callback`或未正确检查`current_user_can()`，导致权限控制完全失效。
🎯 攻击场景
1. 攻击者发现目标网站使用了版本低于1.4.38的WowOptin插件。 2. 攻击者直接构造POST/请求到未受保护的REST端点（如`/wp-json/wowoptin/v1/disable-all`和`/wp-json/wowoptin/v1/add-form`）。 3. 无需任何凭证，请求即可成功执行，导致站点的所有弹出表单被禁用。 4. 攻击者继续发送插入模板表单的请求，向数据库写入包含恶意HTML/JS的垃圾弹出表单。 5. 正常用户访问网站时可能看到伪造的弹出窗口，或触发XSS攻击；同时网站管理员需要手动清理数据库。
💥 漏洞影响
未认证攻击者可完全禁用插件功能（所有opt-in表单消失），并插入任意模板化表单记录到数据库中。这会导致用户交互缺失、数据丢失，并可能引入跨站脚本（XSS）漏洞（如果模板未做消毒处理）。长远影响包括网站信誉受损、广告收入损失，以及潜在的数据窃取。
🛡️ 修复建议
立即升级插件至版本1.4.38或更高。作为临时缓解措施，可通过Web应用防火墙（WAF）规则拦截对以下REST端点的未认证请求：`/wp-json/wowoptin/v1/disable-all`和`/wp-json/wowoptin/v1/add-form`，或使用`.htaccess`限制访问。
📎 参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2026-14603
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-14603
🚨 威胁评估
| 📈 EPSS 利用概率 | 暂无数据 |
| 🚨 CISA KEV | 未被已知利用 |
| 🔧 公开 PoC | 暂无公开 PoC |
⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-28 01:00 | 来源: NVD-Latest
🤖 常见问题解答（FAQ）
❓ 如何检测我的站点是否受影响？
检查插件版本是否低于1.4.38；或向REST端点发送未授权GET请求测试返回状态码（若200则存在漏洞）。也可查看数据库中是否有异常的表单记录。
❓ 攻击者能否利用此漏洞获取管理员权限？
直接获取管理员权限的可能性低，但插入恶意表单可能执行XSS攻击，若管理员访问了包含payload的表单配置页，则可能窃取cookie或触发CSRF。
❓ 临时缓解措施有哪些？
在WordPress的.htaccess或Nginx配置中禁止对`/wp-json/wowoptin/v1/disable-all`和`/wp-json/wowoptin/v1/add-form`的未认证访问；或启用并配置WAF拦截特定路径。