CVE-2026-109516

Bot for Telegram on WooCommerce <= 1.3.0 - Truy cập Không Xác Thực Bypass để Chiếm Quyền Tài Khoản thông qua Fake Telegram Webhook + Truy Hỏi Mật Khẩu Đăng Nhập

Plugin Bot for Telegram trên WooCommerce cho WordPress có thể bị truy cập không cần xác thực dẫn đến chiếm quyền tài khoản trong tất cả các phiên bản từ 1.3.0 trở xuống. Điểm REST `/wp-json/woo-telegram/v1/main/` được đăng ký với `permission_callback => '__return_true'` và không thực hiện kiểm tra chữ ký webhook Telegram, cho phép kẻ tấn công không xác thực gửi một yêu cầu POST giả mạo với `message.chat.id` được đặt thành bất kỳ tên đăng nhập WordPress nào; hàm `bftow_get_user_system_id()` giải quyết giá trị do kẻ tấn công cung cấp thông qua `get_user_by('login', $tgId)` mà không có bằng chứng sở hữu, và ghi một token đăng nhập được tính toán như `md5($_SERVER['HTTP_USER_AGENT'] . time())` - cả hai đầu vào đều được kẻ tấn công kiểm soát hoàn toàn hoặc bị giới hạn trong vài giây sử dụng đầu truy cập của phản hồi `Date`. Token kết quả có thể được trao đổi tại điểm `?action=bftow_create_order&bftow_token=` không cần xác thực, không kiểm tra năng lực và không có nonce, mà gọi `wp_set_auth_cookie()` không điều kiện thông qua `login_user_by_id`, phát hành một cookie phiên đăng nhập được xác thực cho tài khoản mục tiêu cho kẻ tấn công. Điều này cho phép kẻ tấn công không xác thực đăng nhập vào bất kỳ tài khoản WordPress nào, bao gồm cả quản trị viên, chỉ cần tên tài khoản của người dùng đó.

Bạn tra cứu quá nhanh — thử lại sau 30 giây.

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-287

EPSS (FIRST)

0.57% khả năng bị khai thác trong 30 ngày