AutomatorWP Pro Webhooks addon 插件超危漏洞预警（CVE-2026-126173）

漏洞速览

• 漏洞编号：CVE-2026-126173
• 风险评分：9.8（严重）
• 首次披露：2026-11-13
• 最近更新：2026-11-13
• 软件类型：插件
• 软件标识：automatorwp-webhooks
• 受影响版本：<= 1.4.4
• 修复版本：1.4.5
• 是否已修复：是

漏洞详情

用于 WordPress Webhook 附加组件的 AutomatorWP Pro 插件存在授权绕过漏洞，1.4.4 及以下所有版本均受影响。由于插件未能正确验证用户是否有权执行相关操作，未经身份验证的攻击者可以重置任意 WordPress 账户的密码，包括管理员账户，从而完全接管账户。该漏洞仅在管理员配置了特定自动化流程时才能利用，即将带有“Is the user ID”字段的“Receive Webhook”触发器与“Update-User”操作配对，同时将后者的 User ID 字段留空，并将 Password 字段映射至 Webhook 密码标签；这是插件文档明确支持的配置。

影响与风险

• 漏洞类型：Missing Authorization to Unauthenticated Arbitrary User Password Reset / Account Takeover via Webhook with 'Is the user ID' Field
• 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
• 研究人员：0xd4rk5id3 – EnvoraSec

修复建议

1. 按官方建议执行修复：更新至 1.4.5 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• automatorwp.com