Naimur Email OTP Verification for WooCommerce 插件超危漏洞预警（CVE-2026-104014）

漏洞速览

• 漏洞编号：CVE-2026-104014
• 风险评分：9.8（严重）
• 首次披露：2026-11-06
• 最近更新：2026-11-06
• 软件类型：插件
• 软件标识：naimur-email-otp-for-woocommerce
• 受影响版本：<= 2.1.0
• 修复版本：2.1.1
• 是否已修复：是

漏洞详情

用于 WordPress 的 Naimur Email OTP Verification for WooCommerce 插件在 2.1.0 及以下版本存在身份验证绕过漏洞。漏洞源于插件的密码重置完成端点（由 CEOVW_AJAX::update_new_password() 处理 wp_ajax_nopriv_ceovw_update_new_password 操作）仅依据数据库中是否存在将该邮箱标记为“VERIFIED”的记录便授权密码重置，既未检查时间戳，也未将会话与重置请求绑定，更未使用一次性重置令牌；同时，用户输入验证码后，mark_otp_as_verified_for_reset() 会让该记录继续保持“VERIFIED”状态，即使用户放弃后续流程也不会恢复，而用于清理过期 OTP 的定时任务 ceovw_cleanup_expired_otps_event 在插件中未注册任何 add_action() 处理器，因此清理操作永远不会执行。未认证攻击者只需获取受害者的邮箱地址，以及插件在 WooCommerce 账户页面面向未登录访客公开加载到 CEOVW_APP 全局变量中的 nonce，即可调用该端点并覆盖受害者的密码，随后获得该用户有效的 wordpress_logged_in_ 会话 Cookie；若受害者是管理员账户，攻击者即可完全接管网站。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass to Account Takeover via Abandoned Password Reset Finalization
• 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
• 研究人员：s4m0y3d – Hanwhalife VietNam

修复建议

1. 按官方建议执行修复：更新至 2.1.1 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明