超级管理员
楼主
WordPress 的 Datawiza Proxy Auth 插件被披露严重漏洞，CVE-2026-115214，CVSS 9.8，未认证攻击者可直接创建并登录为管理员。影响 1.1.1 之前的版本。
漏洞机理
这个插件的作用是配合反向代理做身份认证，它信任请求头里的用户身份和角色信息。问题在于它没有验证这些请求头是不是来自可信的反向代理。任何能直接访问源站的攻击者，只要自己构造一个带管理员身份的头，就能通过认证。这是典型的「信任边界错位」：身份信息由上游产生，但下游没有校验来源。
为什么这类漏洞特别危险
因为它零门槛。不需要懂内存布局、不需要构造 gadget 链，一个 curl 命令就能拿到管理员权限。而 WordPress 管理员权限意味着可以装插件、改主题、读数据库配置、写入任意文件，等于整站沦陷。
两小时应急清单
第一小时：立刻升级到 1.1.1。如果不能立刻升级，先在 web 服务器层拦截对插件的直接访问，或者干脆停用插件。
第二小时：做三件核查。查用户表里有没有新增的管理员账号，重点是注册时间在最近几天、邮箱域名可疑的；查插件和主题目录里有没有近期修改的可疑文件；查访问日志里有没有带 X-Forwarded-User 之类自定义头的直接请求。
必须做的一件事
确保源站只接受来自反向代理的流量。这条是所有代理认证方案的前提，也是这次漏洞的根因。做法可以是网络层只允许代理 IP 访问源站，或者在源站校验一个只有代理知道的共享密钥头。没有这一条，任何代理认证插件都不安全。
长期建议
WordPress 的安全水位取决于装了多少插件。定期清理不用的插件，别让停用的插件留在服务器上，停用不等于安全。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
