Paytium 插件中的严重存取控制缺陷 | CVE20237291 | 2026-02-17

发表于 2026 年 2 月 17 日 · WP-Firewall 团队

插件名称	Paytium
漏洞类型	存取控制缺陷
CVE 编号	CVE-2023-7291
紧急程度	中
文章／来源日期	2026-02-17
资料来源网址	CVE-2023-7291
公开 CVE 记录日期	2024-10-16

Paytium 插件中的严重存取控制漏洞 - WordPress 网站所有者的基本指南

2026 年 2 月 17 日，公开揭露了一个影响 Paytium WordPress 插件的安全漏洞，广泛用于 Mollie 付款表格和捐款。追踪为 CVE-2023-7291，此问题涉及名为 create_mollie_account。此缺陷影响 4.3.7 及之前的所有 Paytium 版本，报告严重程度为中等（CVSS 评分 7.1）。解决此漏洞的供应商修补程式已在 4.4 版本中发布。

作为 Managed-WP 的网路安全专业人员，我们的目标是提供漏洞的权威、详细分析、针对网站所有者和主机的实用补救措施以及开发人员建议以防止再次发生。此内容面向寻求清晰、可操作的安全指南的 WordPress 管理员、安全团队和开发人员。

漏洞详情一览

受影响的插件： Paytium – Mollie 付款表格和捐款
受影响的版本： 4.3.7 及更早版本
补丁发布： 版本 4.4+
漏洞类型： 存取控制损坏 – 缺少授权 create_mollie_account 行动
CVE 标识符： CVE-2023-7291
严重程度： 中（CVSS 7.1）
托管 WP 建议： 更新刻不容缓。如果立即更新不可行，请使用 WAF 规则套用虚拟修补程式并遵循事件回应程式。

为什么这个漏洞是一个高优先级

支付插件直接与金融处理器集成，通常处理 API 证书、商家资料和交易控制等敏感资讯。缺少授权 create_mollie_account 端点可以允许未经授权的用户，包括低阶订阅者或未经身份验证的攻击者（取决于配置）对付款设定和证书进行关键更改。

此类未经授权的变更会带来严重风险：诈欺、财务损失、声誉受损、交易失败以及下游系统被利用。任何对支付配置的不当存取都需要立即彻底缓解。

技术摘要：「缺少授权」在这种情况下意味著什么

该漏洞的出现是因为 create_mollie_account 处理程序不会验证传入请求者是否具有足够的权限。未遵循常见的 WordPress 安全最佳实务：

缺乏能力检查，例如 current_user_can('manage_options')
缺乏随机数或令牌验证来确认请求的真实性
对于 AJAX 或 REST 端点，不足或没有 permission_callback 控制

这意味著低阶使用者甚至未经身份验证的请求可能会呼叫此关键功能，从而导致未经授权的操作，例如修改付款账户或插入恶意证书。

现实世界中潜在的利用场景

注入攻击者控制的支付账户证书以转移资金
未经授权修改 Webhook URL 以拦截或阻止付款通知
触发欺诈性付款状态或退款流程
由于数据库存储的数据，插件更新之外的有害配置仍然存在
用作权限升级或后门安装以及其他缺陷的立足点

重要的是，无需管理存取权限也可以实现利用。允许用户注册或暴露未经身份验证的端点的网站尤其容易受到攻击。

此漏洞的可利用性如何？

在这些条件下，可利用性被评估为中等到高：

启用使用者注册，攻击者可以取得订阅者角色
易受攻击的端点已注册以进行未经身份验证的存取 (nopriv)
未实施随机数、功能或 CSRF 保护

具有可预测的动作名称，例如 create_mollie_account，攻击者可以轻松制作针对目标的 HTTP POST 请求 admin-ajax.php 或 REST API 路由，无需复杂的工具或特权存取。

网站所有者立即采取的缓解措施

将 Paytium 更新至版本 4.4 或更高版本。
最有效的补救措施是立即更新。在生产部署之前尽可能测试暂存更新。
如果无法立即更新，请套用虚拟修补。
实施服务器级阻止规则（例如 WAF 或 Web 服务器配置）或自订插件片段来阻止或限制对易受攻击的操作的存取。
轮换 Mollie API 证书。
如果您怀疑有任何泄漏风险，请透过 Mollie 的仪表板重新产生所有 API 金钥并相应地更新插件设定。
审计付款日志。
检查 Webhook、事务和设定变更是否有未经授权的活动迹象。
检查使用者账户和权限。
删除可疑用户，强制执行最低权限，并在不需要时考虑停用开放用户注册。
进行全面的恶意软件和完整性扫描。
寻找未经授权的程式码、修改的插件档案或后门。
阻止可疑 IP。
识别并阻止在服务器或防火墙层级表现出滥用行为的 IP 位址。

实用的虚拟补丁范例

重要： 在即时部署之前，请务必在受控的临时环境中测试这些变更。备份您的网站档案和数据库。

1. 阻止有漏洞的 AJAX 操作的 .htaccess 规则 (Apache)

# Block requests to admin-ajax.php with action=create_mollie_account
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{REQUEST_URI} /admin-ajax\.php$ [NC]
  RewriteCond %{QUERY_STRING} (^|&)action=create_mollie_account(&|$) [NC]
  RewriteRule .* - [F,L]
</IfModule>

2. Nginx 配置阻止 AJAX 调用

location ~* /wp-admin/admin-ajax\.php$ {
    if ($args ~* "(^|&)action=create_mollie_account(&|$)") {
        return 403;
    }
    # Remaining fastcgi_pass and PHP setup here...
}

如果您的托管环境不允许直接编辑 nginx 配置，请使用 WAF 规则或插件虚拟修补程式。

3. 用于停用未经身份验证的处理程序的虚拟补丁 PHP 程式码段

<?php
/**
 * Managed-WP temporary mitigation:
 * Disable unauthenticated create_mollie_account AJAX requests.
 * Place as a Must-Use plugin (in wp-content/mu-plugins).
 */

add_action('init', function() {
    if (has_action('wp_ajax_nopriv_create_mollie_account')) {
        remove_action('wp_ajax_nopriv_create_mollie_account', 'create_mollie_account');
    }

    if (has_action('wp_ajax_create_mollie_account')) {
        remove_action('wp_ajax_create_mollie_account', 'create_mollie_account');

        add_action('wp_ajax_create_mollie_account', function() {
            if (!is_user_logged_in() || !current_user_can('manage_options')) {
                wp_send_json_error(['error' => 'Unauthorized'], 403);
            }

            if (!empty($_REQUEST['security'])) {
                check_ajax_referer('paytium_nonce', 'security', true);
            }

            wp_send_json_success(['message' => 'Action temporarily disabled for security']);
        });
    }
}, 5);

注意： 如果插件使用不同的内部处理程序，请调整可呼叫名称。更新插件后立即删除此程式码片段。

4. WAF 规则逻辑概念

阻止 POST 请求 /wp-admin/admin-ajax.php 哪里 action=create_mollie_account
（可选）将允许的请求限制为指定的管理 IP 或仅经过验证的管理会话

if request.path == "/wp-admin/admin-ajax.php" and param("action") == "create_mollie_account":
    if not (cookie("wordpress_logged_in") and user_has_role_admin()):
        block()

有关语法和部署详细信息，请参阅 WAF 供应商文件。

检测潜在的利用

评估与易受攻击端点相关的可疑活动的日志：

HTTP 请求到 /wp-admin/admin-ajax.php?action=create_mollie_account
REST API 呼叫参考 create_mollie_account
具有内容类型的 POST 请求 application/x-www-form-urlencoded 或 application/json 包含动作
意外的支付账户建立、Webhook 或 API 金钥更改
变化 wp_options 与插件配置相关
来自低权限使用者或未经身份验证的会话的请求

# Example command-line log search for Apache/nginx:
grep -i "create_mollie_account" /var/log/nginx/access.log* | less

awk '$6 ~ /POST/ && $7 ~ /admin-ajax.php/ {print $0}' /var/log/nginx/access.log | grep -i "create_mollie_account"

在应用补丁之前的任何此类证据都应被视为潜在的违规行为。

事件回应清单

更新： 在所有环境中将 Paytium 升级到 4.4 或更高版本。
隔离： 如果怀疑受到威胁，请暂时停用该插件或限制网站存取。
虚拟补丁： 应用服务器规则或 PHP 片段作为权宜之计。
轮换证书： 重新产生 Mollie API 金钥并更新插件配置。
审核： 分析支付日志、使用者账户和数据库条目是否有异常。
扫描： 对后门或恶意程式码执行全面的恶意软件和完整性扫描。
清洁和恢复： 从干净的备份中还原受感染的网站并重新套用修补程式。
监控： 修复后数周内提高对可疑活动的警觉性。
报告： 如果诈欺交易得到确认，请通知支付提供者和利害关系人。

开发人员防止类似漏洞的最佳实践

执行能力检查： 使用 current_user_can() 在敏感操作之前验证权限。
实施随机数验证： 利用 check_ajax_referer() 和 wp_verify_nonce() 以验证真实性。
安全性 REST 端点： 始终提供一个 permission_callback 注册 REST 路由时。
避免不受限制的 nopriv 处理程序： 储备 wp_ajax_nopriv_* 仅用于非敏感的公共功能的挂钩。
最小特权原则： 严格将存取权限限制为所需的最低角色。
清理和验证输入： 严格清理和转义输入和输出资料。
保护敏感配置： 切勿透过公共端点接受原始 API 机密；需要管理员确认和服务器端处理。

安全性 REST 路由注册范例：

register_rest_route('paytium/v1', '/create_mollie_account', [
    'methods'             => 'POST',
    'callback'            => 'paytium_create_mollie_account',
    'permission_callback' => function() {
        return current_user_can('manage_options') &&
               check_admin_referer('paytium_admin_action', '_wpnonce');
    }
]);

主办单位、机构和安全团队指南

根据需要自动更新关键插件或快速部署虚拟修补程式。
针对像这样的特定漏洞签章实施集中式 WAF 策略。
实作强大的 HTTP 安全标头和 CSP 策略。
监控和审核 admin-ajax.php 使用模式以侦测异常情况。
提供包含 MU 插件的密集 WordPress 环境，以缓解常见问题。
提供更新前/后的暂存和扫描，以最大限度地降低风险。

常见问题 (FAQ)

Q：我升级到版本 4.4 — 完全安全吗？
答：更新是关键的第一步。更新后，如果怀疑有泄露，请轮换 API 金钥并审核所有支付设定。

Q：缓存或 CDN 是否会干扰缓解措施？
答：此 AJAX 端点涉及很少被缓存的 POST 请求。尽管如此，防火墙和 CDN 阻止规则仍应配置为阻止边缘的漏洞尝试。

Q：我不使用 Mollie－我会受到影响吗？
答：无论 Mollie 使用情况如何，任何受影响的 Paytium 插件版本 (≤4.3.7) 的安装都容易受到攻击。建议删除或更新。

Q：我的网站上没有注册用户 - 安全吗？
答：如果端点允许未经身份验证的 (nopriv) 调用，攻击者无需用户账户即可利用它。否则，启用的用户注册可能会允许建立账户以供利用。

准备好保护您的 WordPress 网站了吗？探索托管 WP 的计划

如果您寻求即时保护和专家指导来处理 CVE-2023-7291 等漏洞，Managed-WP 可以为企业和机构提供量身定制的计划。在攻击者之前保护您的网站。