漏洞速览
- 漏洞编号：
CVE-2026-97637 - 风险评分：
9.8（严重） - 首次披露：2026-10-01
- 最近更新：2026-10-01
- 软件类型：插件
- 软件标识：
json-api-auth - 受影响版本：<= 3.1.2
- 修复版本：3.1.3
- 是否已修复：是
漏洞详情
WordPress 的 JSON API Auth 插件在 3.1.2 及以下所有版本中存在认证绕过漏洞（由缓存会话 Cookie 泄露导致）。该漏洞的根源在于所依赖的 PI-Media/json-api 父插件将控制器调度结果缓存到 transients 中时，仅以 URI 和查询字符串作为缓存键，完全忽略了 HTTP 方法和 POST 请求体；这导致 generate_auth_cookie() 端点——它会在 JSON 响应体中直接嵌入由 wp_generate_auth_cookie() 生成的实时 WordPress logged_in Cookie——在后续任何对该 URI 的未认证 GET 请求到来时返回同一份缓存的已认证响应。攻击者借此能够从未经认证的请求中获取缓存响应里包含的有效 Administrator logged_in 会话 Cookie，进而以网站管理员身份完成全程认证，包括通过同一插件的 get_currentuserinfo 端点或任何依赖 Cookie 认证的控制器操作。利用此漏洞需要满足以下条件：PI-Media/json-api 父插件已安装并启用，且 Auth 控制器处于活跃状态；合法的管理员在近 24 小时的缓存 TTL 窗口内曾向 /api/auth/generate_auth_cookie/ 发起过 POST 请求。此外，Auth.php 中名义上的 HTTPS 强制检查可以通过在请求中传入 insecure=cool 参数轻易绕过。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass via Cached 'generate_auth_cookie' Response
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Chi Trung Huynh – Duy Tan Universiy
修复建议
- 按官方建议执行修复：更新至 3.1.3 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
