漏洞速览
- 漏洞编号：
CVE-2026-15341 - 风险评分：
9.8（严重） - 首次披露：2026-08-14
- 最近更新：2026-08-14
- 软件类型：插件
- 软件标识：
user-session-synchronizer - 受影响版本：<= 1.4.0
- 是否已修复：否
漏洞详情
WordPress 的 User Session Synchronizer 插件在 1.4.0 及以下所有版本中存在身份验证绕过漏洞，可导致账户接管。该插件的 synchronize_session() 函数挂载在 init 钩子上，每次请求都会执行，却未对攻击者提供的 ussync-key、ussync-token 和 ussync-ref 参数进行任何随机数、权限或共享密钥校验。当 ussync-key 引用一个未注册的槽位时，get_option() 对密钥和域名列表均返回 false，导致 AES-256-CBC 加密密钥退化为可完全预测的 md5('')，Referer 白名单也失效为匹配空字符串，而 AES 初始化向量被硬编码为 md5('another-secret')。因此，未经身份验证的攻击者只需构造一个请求，用 ussync-ref 参数传入任意已知或可猜测的用户邮箱地址进行加密，即可让处理程序为对应用户调用 wp_set_auth_cookie()，从而以该用户（包括管理员）的完整身份通过认证，整个过程无需事先知晓站点密钥。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass to Account Takeover via 'ussync-key', 'ussync-token', and 'ussync-ref' Parameters
- 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
