WordPress Hybrid Composer 1.4.6 未授权设置更改漏洞 漏洞概述 WordPress Hybrid Composer 1.4.6 存在一个未授权设置更改漏洞，允许攻击者通过利用 操作修改 WordPress 选项。攻击者可以向 端点发送 POST 请求，设置 参数为 ，以启用用户注册并将默认角色设置为管理员，从而实现账户接管。 影响范围 受影响版本: Hybrid Composer <= 1.4.6 严重性: 关键 发布日期: 2026年6月4日 CVE: CVE-2019-25738 CWE: CWE-306 缺少关键函数的身份验证 CVSS: 9.3 CVSS V4 向量: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 修复方案 参考链接: - ExploitDB-47154 - 官方产品主页 - 产品参考 - 参考 POC代码