WooCommerce 插件超危漏洞预警（CVE-2026-8457）

漏洞速览

• 漏洞编号：CVE-2026-8457
• 风险评分：9.8（严重）
• 首次披露：2026-08-01
• 最近更新：2026-08-01
• 软件类型：插件
• 软件标识：woo-social-login
• 受影响版本：<= 2.8.7
• 修复版本：2.8.8
• 是否已修复：是

漏洞详情

WordPress的WooCommerce – Social Login插件在2.8.7及之前的所有版本中存在身份验证绕过漏洞。其原因在于插件的Apple登录处理程序仅接受Apple的id_token并只对其Base64载荷进行解码，未使用Apple的公钥验证JWT签名，也未校验发行方、受众或过期声明；此外，登录流程所需的安全随机数通过登录页面上的本地化JavaScript对象向未认证用户公开。这使得未认证攻击者可以通过提供包含目标用户邮箱的伪造id_token，以任意已有WordPress用户（包括管理员）的身份登录，因为插件仅依据邮箱（不受角色限制）查找WordPress账户并立即为其创建已认证会话。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass via Forged Apple ‘id_token’ JWT
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Rafie Muhammad – Awesome Motive, Inc.

修复建议

1. 按官方建议执行修复：更新至 2.8.8 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• codecanyon.net
• CVE 官方记录
• CVE 官方记录