漏洞速览
- 漏洞编号：
CVE-2026-104014 - 风险评分：
9.8（严重） - 首次披露：2026-11-06
- 最近更新：2026-11-06
- 软件类型：插件
- 软件标识：
naimur-email-otp-for-woocommerce - 受影响版本：<= 2.1.0
- 修复版本：2.1.1
- 是否已修复：是
漏洞详情
适用于 WordPress 的 Naimur Email OTP Verification for WooCommerce 插件，在 2.1.0 及以下所有版本中存在身份验证绕过漏洞。其根源在于插件的密码重置收尾接口（即由 CEOVW_AJAX::update_new_password() 处理的 wp_ajax_nopriv_ceovw_update_new_password 动作）仅凭数据库中是否存在一条标记该邮箱为“VERIFIED”的记录就授权重置，既没有时间戳校验，也没有会话绑定，更没有为每次重置生成独立令牌；加之 mark_otp_as_verified_for_reset() 会在用户输入验证码后保留该记录的“已验证”状态（若用户中途放弃流程，这条记录同样会残留），而用于清理过期验证码的定时任务 'ceovw_cleanup_expired_otps_event' 在插件中根本没有对应的 add_action() 处理器，导致清理逻辑从不执行。因此，未经身份验证的攻击者可以接管任何此前申请并已通过验证码验证、却未立即完成新密码设置的账户：攻击者只需知道受害者的邮箱地址，以及插件自身在 WooCommerce 账户页面向未登录访客公开注入到 CEOVW_APP 全局变量中的 nonce，随后调用该接口覆盖受害者密码，并会获得该用户有效的 wordpress_logged_in_ 会话 Cookie；若该账户为管理员账号，则等同于完全接管站点。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass to Account Takeover via Abandoned Password Reset Finalization
- 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
- 研究人员：s4m0y3d – Hanwhalife VietNam
修复建议
- 按官方建议执行修复：更新至 2.1.1 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
