漏洞速览
- 漏洞编号：
CVE-2026-93757 - 风险评分：
7.5（高危） - 首次披露：2026-10-28
- 最近更新：2026-10-28
- 软件类型：插件
- 软件标识：
wild-apricot-login - 受影响版本：<= 1.0.18
- 是否已修复：否
漏洞详情
WordPress 的 Wild Apricot Login 插件存在身份验证绕过漏洞，源于 SSO 邮箱冲突导致的账号绑定问题，所有1.0.18 及以下版本均受影响。当收到 SSO 登录请求但未找到对应的 WildApricot contact-ID 映射时，插件会在 Module.php 中退回到全网络范围的 get_user_by('email', ...) 查询来解析 WordPress 用户，随后 UserSynchronizer::syncWaContact() 完成绑定，并由 Controller::login() 通过 wp_set_auth_cookie() 为该用户签发会话 cookie——这两处仅以 is_super_admin() 作为限制条件，且全程未要求提供任何账号归属证明，例如密码、本地账号关联确认、邮箱验证或管理员审批。这使得拥有自定义级别 WildApricot 会员权限的攻击者，能够在基于路径的 Multisite 网络中，冒充已存在的子站管理员完成身份验证，无需其凭据即可获得有效的全网络认证 cookie。攻击的前提条件是：攻击者能控制一个 WildApricot 联系人，其邮箱地址与目标 WordPress 管理员邮箱相同——通过在已接入的 WildApricot 组织公开申请零费用会员即可实现——并在任意启用了 Wild Apricot Login 的子站上完成 SSO 流程；由于 WordPress 的用户身份与认证 cookie 均为全网络级别，在该子站签发的 cookie 在受害者拥有管理员角色的其他任意子站上同样有效。
影响与风险
- 漏洞类型：Authentication Bypass via SSO Email-Collision Account Binding on Multisite
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：zickzick2 – Sejong University of cyber security student
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
