2026年10月29日 · 独立站技术动态
这个漏洞不偷数据，直接烧钱。Rapid7漏洞库10月28日收录：WooCommerce智能客服插件WoowBot（AI ChatBot for WooCommerce）5.0.0及以下全部版本存在授权校验缺陷，订阅者及以上权限的账号即可反复触发RAG文档同步操作——每一次同步都会调用OpenAI、Gemini、OpenRouter或xAI的付费嵌入接口，账单记在站长预存的API密钥上。漏洞编号CVE-2026-111372，CVSS评分4.3。
CVE-2026-111372
漏洞编号
≤5.0.0
受影响版本
4.3分
CVSS 3.1评分
4家
AI服务商躺枪
为什么评分不高却必须马上处理
4.3分看着温和，伤害路径却很直白：插件通过wp_localize_script把wp_chatbot nonce下发给所有已登录前台用户，任何注册了订阅者的访客拿到nonce就能合法地摸到同步端点，然后反复触发全量文档向量化。嵌入接口按token计费，几万商品描述的店铺一次全量同步就是一笔不小的费用，循环触发的结果只有一个——你的AI额度被刷爆，客服机器人先瘫痪，月底再收到一张意外账单。允许公开注册的WooCommerce店铺，等于把点火开关交给了全世界。
三步止血
第一步，进插件设置暂停RAG同步功能，或临时停用WoowBot，等官方修复版本出来再升级恢复；第二步，立刻去OpenAI等平台轮换API密钥，旧密钥作废，同时给新密钥设月度消费硬顶和用量告警；第三步，倒查近两周的API调用日志，发现同步次数异常就核对是否有可疑订阅账号。顺手把「允许任何人注册」的默认设置也检查一下，会员制站点影响面小得多。
WoowBot止血清单
- 暂停RAG同步或停用插件，等待修复版本；
- 轮换OpenAI、Gemini等平台API密钥；
- 为API密钥设置消费上限与异常告警；
- 审查近期注册的订阅者账号与同步日志；
- 关闭不必要的公开注册，收紧账号权限。
常见问题（FAQ）
评分只有4.3，可以旺季后再处理吗？
不建议。它的损失是实时计费现金，且利用成本极低；先暂停RAG同步只需几分钟，没有拖延的理由。
换了密钥就安全了吗？
只是止血。漏洞本体未修，新密钥仍可能被继续消耗，必须停用同步功能或等官方补丁双管齐下。
信息来源
延伸阅读
© 版权声明
文章版权归xinghuos.com注册作者所有，未经允许请勿转载。资源仅供学习交流，有条件者请支持原作者。如有版权或内容准确性问题请联系我司协商处理，收到通知后24小时内处置。
THE END
暂无评论内容