Bot for Telegram on WooCommerce 插件超危漏洞预警（CVE-2026-109516）

漏洞速览

• 漏洞编号：CVE-2026-109516
• 风险评分：9.8（严重）
• 首次披露：2026-10-28
• 最近更新：2026-10-28
• 软件类型：插件
• 软件标识：bot-for-telegram-on-woocommerce
• 受影响版本：<= 1.3.0
• 是否已修复：否

漏洞详情

适用于 WordPress 的“Bot for Telegram on WooCommerce”插件存在身份验证绕过漏洞，可导致账户接管，所有不超过且包含 1.3.0 的版本均受影响。/wp-json/woo-telegram/v1/main/ REST 端点注册时使用了 permission_callback => '__return_true'，且未验证 Telegram Webhook 签名，因此未经身份验证的攻击者可提交伪造的机器人更新请求，将 message.chat.id 设置为任意 WordPress 用户名。bftow_get_user_system_id() 会在未验证请求者是否拥有该账户的情况下，通过 get_user_by('login', $tgId) 将攻击者提供的值解析为目标账户，并写入使用 md5($_SERVER['HTTP_USER_AGENT'] . time()) 计算的登录令牌；其中两项输入要么完全由攻击者控制，要么可借助响应自身的 Date 标头在数秒范围内确定。该令牌可在未经身份验证、未检查用户权限且不要求 nonce 的 ?action=bftow_create_order&bftow_token= 端点兑换；该端点会通过 login_user_by_id 无条件调用 wp_set_auth_cookie()，向攻击者签发目标账户的持久化已认证会话 Cookie。因此，攻击者只需知道目标用户名，便能以包括管理员在内的任意 WordPress 用户身份登录。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass to Account Takeover via Fake Telegram Webhook + Brute-Forced Login Token
• 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
• 研究人员：agr0chal

修复建议

1. 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录