漏洞概述 漏洞名称: Themeco Cornerstone < 7.8.9 (Premium, bundled with X Theme) - Subscriber+ Arbitrary User Meta Disclosure 漏洞描述: 该插件未在其REST API路由之一中强制执行能力检查，允许任何经过身份验证的用户披露其他用户的元数据，包括角色、会话令牌预览和存储的账单/送货字段。这影响了随X Theme捆绑分发的Premium Themeco Cornerstone页面构建器，而不是独立的免费“cornerstone”插件（v0.8.x）。 影响范围 受影响插件: Cornerstone 修复版本: 7.8.9 修复方案 修复版本: 升级到7.8.9或更高版本。 概念验证 (POC) 代码 其他信息 CVE编号: CVE-2026-9709 分类: - 类型: 敏感数据泄露 - OWASP Top 10: A3: 敏感数据暴露 - CWE: CWE-200 - CVSS: 7.7 (高) 原始研究员: Real_King_Engine (ISAL FRAMEWORK) 提交者: Real_King_Engine (ISAL FRAMEWORK) 验证状态: 已验证 WPVDB ID: 3ade0e4e-2070-4d3b-8f31-0d446839efd0 时间线: - 公开发布日期: 2026-06-03 - 添加日期: 2026-06-03 - 最后更新日期: 2026-06-25 其他相关漏洞 2024-01-10: Profile Builder Pro < 3.10.1 - 认证（订阅者+）时间基于一次性密码敏感信息暴露 2025-11-06: EventPrime < 4.2.5.0 - 认证（订阅者+）信息暴露 2025-01-08: WP Database Backup < 7.4 - 未认证数据库备份暴露 2024-03-26: VK All in One Expansion Unit < 9.96.0.0 - 未认证密码保护内容访问 2024-08-08: My Custom CSS PHP & ADS <= 3.3 - 未认证完整路径披露