漏洞速览
- 漏洞编号：
CVE-2026-89324 - 风险评分：
9.8（严重） - 首次披露：2026-11-10
- 最近更新：2026-11-10
- 软件类型：插件
- 软件标识：
basel-post-types - 受影响版本：<= 1.18
- 修复版本：1.19
- 是否已修复：是
漏洞详情
WordPress 的 Basel Post Types 插件在所有不高于 1.18 的版本中都存在身份验证绕过漏洞。 该漏洞源于 BASEL_Auth::get_config() 中调用 defined() 检查 SECURE_AUTH_SALT 时遗漏引号，导致 PHP 计算的是常量的值而非其名称，使检查始终失败，并永久回退到主题源代码中公开可见的静态硬编码盐值 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O。
由于该盐值固定且已知，攻击者可以完全离线计算有效的 Opauth 签名，并向由 register_or_login 处理的、无需身份验证的 init 钩子端点提交伪造的 ? opauth 回调。 这样一来，未认证攻击者即可伪造与已知目标账户电子邮件地址关联的回调，以任意现有 WordPress 用户（包括管理员）身份完成认证，绕过所有密码验证、多因素身份验证和账户所有权检查，并通过 wc_set_customer_auth_cookie() 获取完全认证的会话 Cookie。
利用该漏洞的前提是启用 WooCommerce，并且在主题设置中至少配置一个 Basel 社交登录提供商（Facebook、Google 或 VKontakte），且填写有效的 app_id 和 app_secret。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass via Forged Opauth Callback Signature with Hardcoded Fallback Salt
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：0xwackydawg
修复建议
- 按官方建议执行修复：更新至 1.19 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
