Paytium中的访问控制漏洞（Mollie支付表单和捐赠）— 每个WordPress网站所有者需要知道的事项

2026年2月17日，公开报告了影响Paytium WordPress插件（Mollie支付表单和捐赠）的漏洞。该问题 — 被追踪为CVE-2023-7291 — 是一个在名为 create_mollie_account. 的端点中存在的访问控制缺陷（缺失授权）。该漏洞影响插件版本最高至4.3.7，并被评定为中等严重性（CVSS 7.1）。供应商在版本4.4中发布了修复。.

本文从基本原理解释了该漏洞，描述了可能的现实世界影响，提供了网站所有者和主机可以立即应用的检测和缓解步骤，并给出了防止类似错误的开发者级指导。语气反映了香港安全从业者在处理WordPress支付集成时常分享的实用指导。.

关键事实一览

• 受影响的插件：Paytium — Mollie支付表单和捐赠
• 受影响的版本：≤ 4.3.7
• 修复于：4.4
• 漏洞类型：访问控制缺陷 — 在 create_mollie_account
• CVE：CVE-2023-7291
• 补丁状态：修复可用（更新至4.4+）

这很重要的原因

支付插件与金融处理器交互，并且通常存储API凭证、商户设置和交易工作流。在一个可以创建或配置支付连接器的函数中缺失授权检查是高风险的：低权限用户（或未认证的调用者，取决于注册）可能能够更改支付配置、注入凭证或更改Webhook端点。.

即使没有直接泄露API密钥，未经授权的配置更改也可能导致欺诈、重定向资金、破坏支付流程，或被用作进一步妥协的立足点。因此，支付插件中的访问控制错误需要紧急关注。.

“create_mollie_account中的缺失授权”意味着什么（技术摘要）

从高层次来看，“缺失授权”意味着处理该 create_mollie_account 操作的代码没有验证调用者是否具有预期的权限（例如，使用 current_user_can('manage_options')）或所需的nonce/token。在WordPress中，这通常表现为：

• AJAX处理程序（通过 admin-ajax.php) 注册于 add_action('wp_ajax_...') 或 add_action('wp_ajax_nopriv_...') 但缺乏能力或随机数检查。.
• 注册的 REST API 端点没有 permission_callback.
• 表单处理程序或假设只有管理员会调用的自定义端点。.

当缺少授权时，攻击者可以调用执行敏感操作的端点（创建/更新支付账户、存储 API 密钥、改变设置），而没有适当的检查。报告的漏洞函数 create_mollie_account 似乎可以被未经授权的行为者调用，因为插件没有强制能力检查或验证请求随机数——这是一种经典的访问控制失效模式。.

可能的现实世界影响和利用场景

根据插件内部结构和站点配置，利用此漏洞的攻击者可能会：

• 创建欺诈性支付账户或注入攻击者控制的处理器凭据，将资金转移出站点所有者。.
• 修改支付设置（网络钩子、回调 URL），以拦截或劫持通知和交易。.
• 触发破坏业务逻辑的支付相关操作（例如，标记支付为完成，创建退款）。.
• 添加持久的恶意配置，在更新中持续存在于数据库中。.
• 与其他弱点（弱文件权限、过时的核心/主题/插件）结合，以提升访问权限或植入后门。.

重要的是：利用可能不需要管理员权限。如果端点注册为 nopriv 访问，未经身份验证的请求可能会成功。如果低权限的经过身份验证的用户可以调用它，攻击者可能只需注册一个账户即可利用该漏洞。.

可利用性：有多容易？

当以下一个或多个条件为真时，利用性为中等到高：

• 启用了用户注册（攻击者可以创建订阅者账户）。.
• 该端点注册为 nopriv （无需身份验证即可访问）。.
• 没有服务器端随机数、能力或 CSRF 保护。.

因为动作名称 create_mollie_account 是可预测的，攻击者可以构造 POST 请求到暴露的处理程序 (admin-ajax.php?action=create_mollie_account) 或注册的 REST 路由并观察结果。无需超出正常 HTTP(S) 的特殊网络访问。.

网站所有者的立即行动（按优先级排序）

1. 将插件更新到修复版本（4.4 或更高）。. 这是最终修复。在可能的情况下在暂存环境中测试，然后部署到生产环境。.
2. 如果无法立即更新，请采取临时阻止措施。. 使用服务器级规则（nginx 或 .htaccess）或实施快速 PHP 级拦截以阻止对易受攻击动作的调用。.
3. 如果怀疑被泄露，请轮换 Mollie API 密钥和任何存储的凭据。. 从 Mollie 仪表板重新生成 API 令牌，并仅在确保端点安全后更新插件配置。.
4. 审计支付和日志。. 检查支付日志、网络钩子、最近的交易和插件设置中的异常或新添加的网络钩子端点。.
5. 审计用户和角色。. 删除可疑账户，执行最小权限，并考虑在不需要的情况下禁用公共注册。.
6. 运行恶意软件扫描和文件完整性检查。. 查找最近修改的文件、意外的 PHP 文件或注入的代码。.
7. 监控并阻止可疑 IP。. 使用服务器或防火墙规则阻止恶意来源。.

实用规则和代码示例（谨慎应用）

首先在暂存环境中测试任何更改，并确保您有当前的文件和数据库备份。.

1) 在 .htaccess 中阻止操作 (Apache / mod_rewrite)

# 阻止通过 admin-ajax.php 调用易受攻击操作的请求

这会对匹配的请求返回 HTTP 403，并且如果插件依赖于此，则是保守的服务器端阻止 admin-ajax.php?action=create_mollie_account.

2) Nginx 规则以阻止相同的请求

# 阻止对易受攻击操作的 admin-ajax.php 的直接调用

如果您无法在托管主机上编辑 nginx 配置，请使用替代缓解措施，例如虚拟补丁或您的托管提供商提供的 WAF 规则。.

3) 虚拟补丁 — 临时 PHP 代码片段以禁用未认证的处理

将其添加为必用插件 (wp-content/mu-plugins/) 或一个早期运行的短站点特定插件。如果插件使用不同的可调用名称，请调整处理程序名称。.

<?php;

注意：如果可调用名称不同，请调整，并在更新到修复的插件版本后删除此临时代码。.

4) WAF 规则示例（概念性）

如果您具有 WAF 功能（托管或边缘），请阻止以下请求：

• 路径为 /wp-admin/admin-ajax.php 和参数 action=create_mollie_account.
• 或调用特定的 REST 端点路径。.

伪签名逻辑：

if request.path == "/wp-admin/admin-ajax.php" and param("action") == "create_mollie_account":

如何检测您的网站是否被针对或利用

搜索 HTTP 访问日志、应用程序日志和审计跟踪以查找以下指标：

• 请求到 /wp-admin/admin-ajax.php?action=create_mollie_account 或任何包含 create_mollie_account.
• 带有有效负载或引用 JSON 的 POST 请求 create_mollie_account.
• 新的或意外的支付账户、API 密钥或插件设置中的 webhook 端点。.
• 插件选项的意外数据库更改（wp_options），尤其是最近的更新。.
• 来自低权限账户或未认证调用者的 POST 请求。.

示例命令行检查：

# 搜索访问日志中的操作名称"

如果在应用补丁之前存在调用，则假设可能已被攻破，直到验证为止。.

事件响应检查清单（简明）

1. 修补： 在所有环境中将 Paytium 更新到 4.4 或更高版本。.
2. 隔离： 如果滥用仍在继续，请禁用插件或暂时限制网站访问。.
3. 虚拟补丁： 在补丁完成之前，应用服务器级阻止规则或 PHP mu-plugin 代码片段。.
4. 凭据： 轮换 Mollie API 密钥和任何其他与支付相关的秘密。重置管理员密码并在适用的情况下轮换服务令牌。.
5. 审计： 审查交易、webhook 端点、插件设置和数据库选项以查找可疑更改。.
6. 扫描： 运行完整的文件完整性和恶意软件扫描；检查新文件、修改的核心文件或不熟悉的 cron 作业。.
7. 恢复： 如果发现恶意更改，请从在可疑活动之前进行的已知良好备份中恢复。.
8. 监控： 在修复后的几周内增加对 admin-ajax、REST API 调用、登录尝试和支付活动的监控。.
9. 通知： 如果客户支付受到影响，请通知您的支付提供商并遵循法律/合同报告义务。.

开发者指导：防止此类漏洞

1. 开发者应假设每个管理操作都需要明确的服务器端授权。实际保护措施：

• 强制执行能力检查 current_user_can() 2. 在执行敏感操作之前。.
• 3. 对于 AJAX 和表单提交使用随机数 (check_ajax_referer(), wp_verify_nonce()).
• 4. 对于 REST 路由，调用时始终包含一个 permission_callback 当拨打电话时 register_rest_route.
• 6. 避免注册 wp_ajax_nopriv_* 7. 用于管理或配置任务的处理程序。.
• 8. 清理和验证所有输入，无论是否存在授权。.
• 9. 遵循最小权限原则：仅向所需的最小角色暴露功能。.

10. 示例 REST 注册与明确的权限检查：

11. register_rest_route('paytium/v1', '/create_mollie_account', array(;

'methods' => 'POST',

• 'callback' => 'paytium_create_mollie_account',.
• 'permission_callback' => function() { action=create_mollie_account).
• 监控 admin-ajax.php return current_user_can('manage_options') && check_admin_referer('paytium_admin_action', '_wpnonce');.
• ));.
• 12. 主机和代理的检测与加固清单.

常见问题解答（FAQ）

13. 维护快速的插件修补流程，并为关键修复提供标准的虚拟补丁工作流程。

14. 部署可以应用于多个实例的集中阻止规则或 WAF 签名（例如，阻止.

15. 使用并对异常峰值或意外端点发出警报。

A: 脆弱的操作通常是动态的（POST到 admin-ajax.php），因此缓存和CDN通常不会提供缓存的响应。然而，边缘WAF规则可以在CDN级别阻止有问题的请求；日志仍需审核。.

Q: 我不使用Mollie — 我仍然受到影响吗？

A: 如果安装了Paytium插件（即使未配置Mollie），如果版本≤ 4.3.7，您的网站会受到影响。请更新或卸载该插件。.

Q: 我没有注册用户 — 我安全吗？

A: 如果端点暴露给未认证的用户（nopriv），攻击者可以在没有账户的情况下调用它。如果没有，攻击者可能会注册一个账户（如果注册已启用）并利用该端点。请更新或阻止，直到修补。.

一般保护措施

除了上述立即缓解措施外，应用分层防御以减少未来漏洞的暴露时间和影响范围：

• 确保及时更新插件并制定文档化的回滚计划。.
• 集中管理admin-ajax和REST API活动的日志和警报。.
• 在可行的情况下，对管理端点使用IP白名单。.
• 保持定期备份，并定期测试恢复程序。.
• 教育网站维护者了解在WordPress开发中能力检查和nonce使用的重要性。.

最后的话：紧迫性和实用总结

1. 立即将插件更新到版本4.4或更高版本 — 这是最终修复。.
2. 如果您无法立即更新，请应用上述服务器/WAF缓解措施或虚拟补丁代码片段。.
3. 轮换任何可能暴露的支付凭证，并审核支付日志和设置。.
4. 增加监控并审核用户账户，特别是如果启用了注册。.

支付集成涉及金钱和客户信任。将支付相关插件中的任何访问控制失败视为高优先级，并遵循上述步骤以降低风险。如果您需要进一步的技术支持，请联系可信的安全专业人员进行专注的事件审查和修复。.

保持警惕，,
香港安全专家