漏洞速览
- 漏洞编号：
CVE-2026-109516 - 风险评分：
9.8（严重） - 首次披露：2026-10-28
- 最近更新：2026-10-28
- 软件类型：插件
- 软件标识：
bot-for-telegram-on-woocommerce - 受影响版本：<= 1.3.0
- 是否已修复：否
漏洞详情
WordPress 的 WooCommerce Telegram Bot 插件存在身份验证绕过漏洞，可导致账户接管，所有 1.3.0 及以下版本均受影响。该插件注册的 /wp-json/woo-telegram/v1/main/ REST 端点将 permission_callback 设为 __return_true，且完全不校验 Telegram webhook 签名，未认证的攻击者可 POST 一条伪造的机器人更新消息，将 message.chat.id 设置为任意 WordPress 登录用户名；随后 bftow_get_user_system_id() 会通过 get_user_by('login', $tgId) 把这个由攻击者提供的值解析为目标账户，全程没有任何所有权证明，并写入一个由 md5($_SERVER['HTTP_USER_AGENT'] . time()) 计算得出的登录令牌——两个输入要么完全由攻击者控制，要么可在数秒内利用响应自身的 Date 头推算出来。生成的令牌可以在未认证、无权限校验且无 nonce 的 ?action=bftow_create_order&bftow_token= 端点兑换，该端点通过 login_user_by_id 无条件调用 wp_set_auth_cookie()，从而为攻击者签发目标账户的持久化认证会话 Cookie。这意味着攻击者只需知道目标用户名，便能以任意 WordPress 用户（包括管理员）的身份登录。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass to Account Takeover via Fake Telegram Webhook + Brute-Forced Login Token
- 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
- 研究人员：agr0chal
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
