WordPress GamiPress 插件漏洞CVE-2026-24546

GamiPress 是一款主流 WordPress 游戏化插件，这款插件被广泛用于网站搭建积分、勋章、等级、任务、排行榜等等的互动体系中。

一、基本情况

GamiPress 是Ruben Garcia开发的 WordPress 游戏化（Gamification）插件，作用是给网站搭建积分、勋章、等级、任务等激励体系。

GamiPress 插件常见于社区、论坛、教育网站、会员站点，大量站点部署使用，核心免费（可商用），而其高级功能 / 扩展插件付费。

栋科技漏洞库关注到 WordPress GamiPress 插件 7.6.3 及之前版本损坏访问控制漏洞，追踪为CVE-2026-24546，CVSS 3.X评分5.3。

二、漏洞分析

CVE-2026-24546是  WordPress 游戏化插件 GamiPress中存在的 未授权访问/权限控制缺失漏洞，该漏洞可能会被未登录攻击者利用。

该漏洞是个存在未授权访问漏洞，外人可直接越权查看/操作数据，导致泄露用户积分、成就、徽章等敏感信息；可能篡改数据风险。

该漏洞源于关键接口/功能未做身份校验与权限判断，导致越权访问敏感数据或操作。

由于开发阶段对接口安全设计疏忽，错误配置访问控制策略，未遵循 “默认拒绝、显式授权” 的安全原则，

对外暴露的业务接口未叠加登录态、角色权限校验，导致匿名用户可随意访问受保护功能。

（一）漏洞原理

插件后端部分功能接口、数据查询接口、管理操作接口，代码中缺少身份登录校验、用户权限判断：

正常设计逻辑：接口仅允许登录用户、管理员、对应权限会员访问 / 调用；

实际代码缺陷：未校验请求发起者是否登录、是否具备对应权限；

攻击者无需登录网站、无需任何账号凭证，直接构造请求即可调用这些接口，触发越权访问、越权操作。

（二）漏洞利用方式

攻击者仅需知道目标网站域名，无需注册、登录账号，通过浏览器或工具直接请求存在缺陷的接口地址，即可完成利用。

三、影响范围

GamiPress ≤ 7.6.3

四、修复建议

GamiPress ≥ 7.6.4

五、参考链接

管理员已设置登录后刷新可查看