--- canonical: https://meta.cyberforums.com/t/ottokit-suretriggers-wordpress/726 webpage: https://wpcy.com/community/t/726-ottokit-suretriggers-wordpress language: zh-Hans --- # OttoKit（原名SureTriggers）WordPress 插件曝高危漏洞：黑客大规模创建恶意管理员账户 > 文派叶子支持论坛的只读副本，本页不能回复。 > 讨论原文：https://meta.cyberforums.com/t/ottokit-suretriggers-wordpress/726 > 网页版：https://wpcy.com/community/t/726-ottokit-suretriggers-wordpress ## 1 · system - 发布时间：2025年7月19日 21:16 文章首发于： https://wptea.com/ottokit-suretriggers-wordpress-plugin-vulnerability/ 漏洞背景：OttoKit插件曝双漏洞，超10万网站面临风险 OttoKit（原名SureTriggers）是一款WordPress自动化集成插件，允许用户将网站与第三方服务连接并实现工作流自动化，目前活跃安装量超过10万。然而，2025年4月至5月期间，该插件连续曝出两个高危漏洞（CVE-2025-27007 和 CVE-2025-3102），均涉及权限提升问题，可让攻击者在未授权的情况下创建管理员账户，完全控制目标网站。 安全厂商Patchstack和Wordfence监测到，黑客自2025年5月初开始大规模利用这两个漏洞，部分攻击甚至在漏洞公开后90分钟内就已出现。由于OttoKit用户基数庞大，受影响网站需立即采取行动，否则可能面临数据泄露、恶意代码注入等严重后果。 漏洞详情：黑客如何利用逻辑缺陷接管网站？ 1. CVE-2025-27007（CVSS 9.8）：未授权API提权漏洞 该漏洞影响OttoKit 1.0.82及更早版本，核心问题在于create_wp_connection()函数存在逻辑缺陷，未正确验证用户权限。攻击者可利用此漏洞在以下两种情况下获取管理员权限： 网站从未启用应用密码（Application Password），且OttoKit未通过该方式连接过网站。 攻击者已掌握低权限账户，并能生成有效应用密码。 攻击流程： 黑客向OttoKit的REST API端点发送伪造请求，模仿合法集成操作。 利用create_wp_connection函数绕过认证，建立恶意连接。 随后调用/wp-json/sure-triggers/v1/automation/action接口，提交"type_event": "create_user_if_not_exists"参数，静默创建管理员账户。 2. CVE-2025-3102（CVSS 8.1）：认证绕过漏洞（4月已遭利用） 该漏洞同样允许攻击者创建恶意管理员账户，但利用方式略有不同。黑客通过自动化脚本尝试暴力破解或猜测管理员用户名，结合随机密码和伪造邮箱完成账户创建。 关键问题： 两个漏洞可被组合利用，攻击者先尝试CVE-2025-27007，失败后再测试CVE-2025-3102。 漏洞利用过程高度自动化，攻击IP通常来自僵尸网络或云服务器。 攻击态势：黑客如何大规模扫描并入侵网站？ 1. 漏洞公开后90分钟内即遭利用 Patchstack于2025年5月5日发布漏洞公告，但监测显示，攻击者在公告发布后91分钟就开始尝试入侵。Wordfence进一步发现，5月2日已有试探性攻击，5月4日进入大规模利用阶段。 2. 攻击IP与攻击模式分析 监测到的攻击IP包括： 2a0b:4141:820:1f4::2 41.216.188.205 144.91.119.115 194.87.29.57 196.251.69.118 107.189.29.12 205.185.123.102 198.98.51.24 198.98.52.226 199.195.248.147 攻击特征： 攻击者向/wp-json/sure-triggers/相关API发送大量请求。 部分请求包含create_user_if_not_exists参数，尝试创建管理员账户。 部分IP同时扫描其他WordPress插件漏洞，表明攻击者可能属于自动化僵尸网络。 3. 受影响网站可能面临的后果 后门账户：黑客创建隐藏的管理员账户，长期控制网站。 数据泄露：获取数据库访问权限，窃取用户信息。 恶意代码注入：植入SEO垃圾链接、钓鱼页面或勒索软件。 供应链攻击：如果网站属于企业或电商平台，可能影响下游用户。 修复方案：如何保护网站免受攻击？ 1. 立即更新OttoKit插件 官方已在1.0.83版本修复漏洞，用户应： 进入WordPress后台 → 插件 → 检查OttoKit是否已自动更新。 如未更新，手动安装最新版（可从WordPress插件库或厂商官网下载）。 2. 检查是否已被入侵 审查用户列表：查看是否有异常的管理员账户（尤其是近期创建的）。 检查网站日志：搜索/wp-json/sure-triggers/相关请求，确认是否有攻击尝试。 使用安全插件扫描：如Wordfence、Sucuri等，检测后门或恶意代码。 3. 增强WordPress安全防护 启用Web应用防火墙（WAF）：可拦截恶意API请求。 禁用未使用的REST API端点：减少攻击面。 强制使用强密码+双因素认证（2FA）：降低暴力破解风险。 如果您的网站仍在运行OttoKit 1.0.82或更早版本，请立即更新，否则极可能成为下一个受害者！