一、 漏洞 CVE-2026-0808 基础信息
漏洞信息
# Spin Wheel 2.1.0 以下 prize_index 参数漏洞
## 概述
Spin Wheel 插件在所有版本（包括 2.1.0 及以下）中存在客户端奖品操控漏洞。
## 影响版本
所有版本 ≤ 2.1.0
## 细节
插件在抽奖过程中依赖客户端发送的 `prize_index` 参数，未在服务器端进行合法性验证或随机生成奖品结果。
## 影响
未经身份验证的攻击者可通过篡改 `prize_index` 参数，任意选择高价值奖品，导致奖品分配机制被恶意利用。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Spin Wheel <= 2.1.0 - Unauthenticated Client-Side Prize Manipulation via 'prize_index' Parameter
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The Spin Wheel plugin for WordPress is vulnerable to client-side prize manipulation in all versions up to, and including, 2.1.0. This is due to the plugin trusting client-supplied prize selection data without server-side validation or randomization. This makes it possible for unauthenticated attackers to manipulate which prize they win by modifying the 'prize_index' parameter sent to the server, allowing them to always select the most valuable prizes.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
服务端安全的客户端实施
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-0808 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-0808 的情报信息
标题： ERROR: The request could not be satisfied -- 🔗来源链接
标签：
神龙速读：### 关键信息 - **错误类型**: 403 ERROR - **错误描述**: The request could not be satisfied. - **原因**: Request blocked. We can't connect to the server for this app or website at this time. There might be too much traffic or a configuration error. - **解决方案**: Try again later, or contact the app or website owner. If you provide content to customers through CloudFront, you can find steps to troubleshoot and help prevent this error by reviewing the CloudFront documentation. - **生成者**: Generated by cloudfront (CloudFront) - **请求ID**: 0akZvKcpllyH8RvYVpt8xU5mikX50T4ml4GyKQ70XxI0YHjz_ZQ==
标题： Changeset 3437726 for spin-wheel – WordPress Plugin Repository -- 🔗来源链接
标签：
神龙速读：从这个网页截图中，我们可以了解到关于漏洞的关键信息如下： - **插件名称和版本**：插件名为 `spin-wheel`，当前版本为 2.1.1。 - **Change**：变更集包含大量的文件更新和修改，包括CSS、JavaScript和PHP文件。这些更改可能涉及安全修复或功能增强。 - **日期和作者**：变更日期为 2021 年 12 月 20 日，作者是 `mohamadafarid`。 - **代码更改详情**： - **CSS（`spin-wheel/trunk/admin/css/admin.css`）**： - 删除了对 `pointer-events` 的取消取消以允许背景页面交互。 - 调整了 `min-width` 和 `pointer-events` 设置以优化布局。 - **JavaScript（`spin-wheel/trunk/admin/js/admin-modern.js`）**： - 更新了交互逻辑，移除了之前的 `overflow` 设置，可能是为了提升用户体验或弥补潜在的安全问题。 - **PHP（`spin-wheel/trunk/includes/class-swp-ajax.php`）**： - 处理 Ajax 请求的逻辑有变更，如获取和验证 '$prize_index' 和确定奖品有效性等。 - **有增有减的文件**：如 `trunk/readme.txt` 的变更涉及到插件的稳定性和用户体验上的修缮。 - **潜在漏洞检测**：虽然此截图没有显示具体的安全漏洞，但是通过审查变更内容，特别是 PHP 和 JavaScript 代码更改，可以评估是否修复了之前版本中可能存在的跨站脚本（XSS）、注入或权限问题等漏洞。 这些信息综合起来可以为插件的安全性和稳定性评估提供重要的参考资料，同时帮助开发者了解具体更新内容，以确保网站的正常运行和用户数据的安全。
- https://plugins.trac.wordpress.org/browser/spin-wheel/tags/2.0.2/includes/class-swp-ajax.php#L73
- https://plugins.trac.wordpress.org/browser/spin-wheel/trunk/includes/class-swp-ajax.php#L73
- https://nvd.nist.gov/vuln/detail/CVE-2026-0808
四、漏洞 CVE-2026-0808 的评论
暂无评论