漏洞速览
- 漏洞编号：
CVE-2026-14495 - 风险评分：
8.8（高危） - 首次披露：2026-07-07
- 最近更新：2026-07-07
- 软件类型：插件
- 软件标识：
dologin - 受影响版本：<= 4.3
- 是否已修复：否
漏洞详情
WordPress 的 DoLogin Security 插件存在认证绕过漏洞（影响全部版本直至并包括 4.3），漏洞根源在于 dologin\s::rrand() 使用 mtsrand((double) microtime() * 1000000) 为 Mersenne Twister 算法播种——该做法丢弃了 microtime() 中的整数秒部分，将种子限制在约 10^6 个取值范围内（约 20 比特熵）——随后用 mtrand() 逐字符生成 32 位魔幻链接令牌，导致整个令牌成为该种子的确定性函数。由于 Pswdless::trylogin() 注册在未认证的 init 钩子上，并通过 ?dologin=<id>.<hash> 参数中嵌入的自增数字 ID 解析目标账户，使用非恒定时间的 != 操作符进行哈希比较后直接调用 wpsetauthcookie()，整个过程从未经过 wpauthenticate()，因此也永远不会触发插件自身的 Auth::hasloginerr() 锁定机制。攻击者可以在未认证状态下暴力枚举约 10^6 量级的种子空间，重构出有效的免密登录令牌，从而以任意目标用户（包括管理员）的身份认证成功，无需密码。漏洞利用前提是：攻击时目标账户存在一个有效且未过期的免密登录链接（有效期最长 7 天），且该链接的数字 ID 可通过自增主键得知或猜出。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass via Insufficient Randomness via 'dologin' Parameter Weak PRNG Token
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：samuel pages chartier
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
