對於許多 WordPress 網站管理員來說，為了確保系統發出的電子郵件（如通知、驗證碼）能穩定送達，通常會安裝 SMTP 插件來對接第三方郵件服務。然而，近期在 Gravity SMTP 插件中發現的一個安全漏洞 CVE-2026-4020，提醒了開發者在設計 API 接口時，權限控制的疏忽可能導致極其嚴重的後果。
漏洞核心成因：權限檢查的失效
這次漏洞的本質屬於資訊洩漏（Information Disclosure）。在 WordPress 的生態中，插件經常會註冊 REST API 接口，讓前端或外部服務能與後端溝通。而 REST API 接口在定義時，通常會包含一個名為 permission_callback 的權限回呼函數，用來檢查發起請求的使用者是否有權限存取該路徑。
問題出在 Gravity SMTP 註冊的一個特定路徑 /wp-json/gravitysmtp/v1/tests/mock-data。開發者在設定這個接口時，將 permission_callback 設定為無條件返回 true。這意味著任何未經身分驗證的訪客，只要知道這個網址，就可以直接存取該接口，完全繞過了身分驗證機制。
觸發路徑與漏洞放大
單純存取該接口可能只會得到部分測試數據，但攻擊者發現了一個特殊的觸發條件。當請求中加入特定的查詢參數 page=gravitysmtp-settings 時，插件內部的 register_connector_data 方法會被觸發，進而將系統內部的連接器配置數據填充到回應中。
結果就是，攻擊者只需發送一個簡單的 HTTP GET 請求，伺服器就會回傳一份約 365 KB 的 JSON 格式系統報告。這份報告包含了極其敏感的資訊，包括 PHP 版本、Web 伺服器版本、資料庫類型、所有已安裝插件的版本，以及最致命的：配置在插件中的第三方 API 金鑰與 OAuth 令牌（Tokens），例如 Amazon SES、Google、Mailjet 等服務的憑證。
對工程實務的實際影響
這類漏洞對網站的影響分為兩個層次。首先是直接的資源濫用。一旦 API 金鑰外洩，攻擊者可以直接利用這些憑證，冒用該網站的身分發送大量垃圾郵件或釣魚郵件，這不僅會耗盡業主的服務配額，還會導致該網站的發信域名被列入黑名單。
其次是作為後續攻擊的跳板。系統報告中洩漏的軟體版本資訊（如特定的 PHP 或插件版本），等於是給了攻擊者一份詳細的環境清單。攻擊者不需要再花時間掃描，就能精準地尋找對應版本的已知漏洞（Known Vulnerabilities）來發動更深層的滲透攻擊。
防禦建議與修補對策
目前官方已在 2.1.5 版本中修復此漏洞。對於開發者與維運人員，應採取以下步驟：
第一，立即更新插件至最新版本。
第二，採取憑證輪轉（Credential Rotation）。由於此漏洞已被大規模利用（Wordfence 記錄了超過 1700 萬次嘗試），如果你在漏洞修復前使用了第三方郵件整合，必須假設金鑰已經外洩。單純更新插件是不夠的，必須到第三方服務後台重新生成 API 金鑰並替換舊金鑰。
第三，檢查伺服器日誌。檢查是否有對該特定 REST API 路徑的異常請求，尤其是來自可疑 IP 的訪問紀錄，以確認網站是否曾被成功利用。
給開發者的啟示
這次事件再次強調了 API 安全的基本原則：絕對不要信任客戶端傳入的參數來決定敏感數據的輸出，且所有 API 接口必須實施嚴格的權限校驗。在開發測試接口（如 mock-data）時，應確保這些路徑在正式環境（Production）中被禁用，或僅限於管理員權限存取，而非為了方便測試而將權限開放給所有人。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。