Advanced IP Blocker 插件超危漏洞预警（CVE-2026-104732）

漏洞速览

• 漏洞编号：CVE-2026-104732
• 风险评分：9.8（严重）
• 首次披露：2026-10-09
• 最近更新：2026-10-09
• 软件类型：插件
• 软件标识：advanced-ip-blocker
• 受影响版本：<= 8.13.13
• 修复版本：8.13.14
• 是否已修复：是

漏洞详情

WordPress的Advanced IP Blocker插件在8.13.13及之前的所有版本中存在身份验证绕过漏洞。该漏洞的根源在于handle_login_action()函数在进行第二步TOTP提交时，未对请求者是否已完成第一步密码认证进行服务端检查（如通过临时标记、会话标记或类似机制）。更糟的是，函数的一个错误分支会无条件地生成一个新的advaipbl-2fa-interim-{user_id} nonce，并通过Location头发送给任意未认证的调用者；随后display_2fa_login_form_step_2()会在HTML中渲染一个有效的advaipbl-2fa-verify-{user_id} nonce。这两个nonce都是在固定的uid=0空会话上下文中计算的，因而可被攻击者在后续请求中完全复用。攻击者只需知道已开启插件2FA功能的用户的user_id，即可在不受限制的情况下暴力解锁6位TOTP码（无尝试次数限制、无账户锁定、也不会触发wp_login_failed），随后通过wp_set_auth_cookie获取完全认证的会话cookie，而无需提供账户密码，最终实现对网站的完全接管。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass via Missing Step-1 Binding to 2FA Login Handler
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Wordfence PRISM – Wordfence

修复建议

1. 按官方建议执行修复：更新至 8.13.14 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录