Basel Post Types 插件超危漏洞预警（CVE-2026-89324）

漏洞速览

• 漏洞编号：CVE-2026-89324
• 风险评分：9.8（严重）
• 首次披露：2026-11-10
• 最近更新：2026-11-10
• 软件类型：插件
• 软件标识：basel-post-types
• 受影响版本：<= 1.18
• 修复版本：1.19
• 是否已修复：是

漏洞详情

WordPress 的 Basel Post Types 插件在包括 1.18 在内的所有版本中均存在身份验证绕过漏洞。 该漏洞源于 BASEL_Auth::get_config() 中针对 SECURE_AUTH_SALT 的 defined() 调用存在缺少引号的编码错误，导致 PHP 计算的是常量的值而非其名称，使检查始终失败，并永久回退到主题源代码中公开可见的静态硬编码盐值 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O。

由于该盐值固定且已知，攻击者可以完全离线计算出有效的 Opauth 签名，并向由 register_or_login 处理的、无需身份验证的 init 钩子端点提交伪造的 ? opauth 回调请求。 未经身份验证的攻击者因此可以伪造与已知目标账户电子邮件地址关联的回调，以任意现有 WordPress 用户（包括管理员）身份完成身份验证，绕过所有密码验证、多因素身份验证和账户所有权检查，并通过 wc_set_customer_auth_cookie() 获取完全认证的会话 Cookie。

要实施攻击，必须启用 WooCommerce，并且至少有一个 Basel 社交登录提供商（Facebook、Google 或 VKontakte）已在主题设置中配置有效的 app_id 和 app_secret。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass via Forged Opauth Callback Signature with Hardcoded Fallback Salt
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：0xwackydawg

修复建议

1. 按官方建议执行修复：更新至 1.19 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• Basel Post Types 插件 – ThemeForest