InfiniteWP Client 的 NOSSL 签名密钥可从捕获的请求中恢复
研究人员利用一条捕获的请求及面板公钥，恢复了以 NOSSL 注册的 InfiniteWP Client 1.13.10 测试站点管理签名密钥。伪造请求成功修改数据库选项。核实修复前应限制或停用管理通道。
- 披露时间
- 2026年11月6日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 以 NOSSL 模式注册的 InfiniteWP Client 1.13.10 站点。恢复密钥需要一条捕获的签名请求及面板公钥。
- wordpress
- 在野利用
- 未发现
- 研究人员在受控测试环境中演示了密钥恢复及命令伪造。
发生了什么
NOSSL 使用公开前缀及最多 31 位的秘密随机值派生管理密钥。研究人员使用面板公钥及捕获的 get_stats 请求离线验证候选值，随后通过伪造的 maintain_site 请求在测试站点写入新的数据库选项。签名覆盖动作及消息 ID，未覆盖参数。
结果适用于 NOSSL 注册方式。报告所提约 20 万个安装指整个插件，以 NOSSL 注册的数量未知。报告记录的是受控演示。
案发时间线
2026年11月6日
研究人员公开 NOSSL 密钥恢复演示
研究人员在 291.9 秒内离线恢复测试密钥，并用其伪造了改变状态的命令。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- 研究人员在 oss-security 发布的披露一手来源说明测试版本、NOSSL 注册、密钥恢复前提、耗时及受控命令伪造。
- 研究人员的公开资料一手来源记载实验并链接签名论文。
- InfiniteWP Client WordPress 插件页面一手来源厂商插件页面及变更日志。已核阅页面未能确认针对该报告的修复。