2026年10月21日 · 独立站技术动态
WPScan披露，弃单召回插件Abandoned Cart Pro for WooCommerce存在权限提升漏洞（CVE-2026-81543）：一个普通订阅者账号就能改SMTP设置、截获管理员密码找回邮件，最终拿下整个站点。修复版本10.7.2已发布，用这款插件的WooCommerce站点应立即升级并排查。
订阅者就能劫持管理员，攻击路径已经公开
漏洞的技术细节不复杂但足够致命：插件的四个AJAX动作（wcap_save_connector_settings、wcap_send_manual_email、wcap_abandoned_cart_info、wcap_change_manual_email_data）既没做能力检查（capability check），也没做nonce验证。只要手里有一个订阅者（subscriber）账号，攻击者就能修改SMTP连接器设置，把管理员的密码找回邮件路由到自己控制的服务器，再拦截自动登录链接，完整拿到管理员权限。
关键在于，很多WooCommerce站点为了做会员营销是开放注册的，订阅者账号随手就能注册一个。这意味着攻击面直接暴露给了匿名访客，不需要任何社工手段。
同期还有一枚OTP认证绕过，套路如出一辙
几乎同一时间，OTP Login & Register Woocommerce插件2.7.2及以下版本被曝出认证绕过漏洞（CVE-2026-12215，NVD已收录）：OTP限流计数器只绑定攻击者可控的cookie字段（xoo_ml_user_ip_data里的ip_address），攻击者轮换cookie就能无限重置计数，对短信验证码进行暴力破解。
两枚漏洞的共同点是”低权限入口”。这类问题不会出现在核心代码的聚光灯下，却藏在营销、登录这类辅助插件里。而上月Rank Math事件的教训还在眼前：只升级不排查等于没修。升级之后，必须核对SMTP和发信设置有没有被改、管理员列表里有没有陌生账号、站点邮件日志有没有异常外发。尤其弃单召回类插件手里握着客户邮箱和订单数据，一旦被控，泄露的不只是站点本身。
WooCommerce站长行动清单
- 立即将Abandoned Cart Pro升级到10.7.2及以上版本
- OTP Login & Register Woocommerce用户升级到2.7.2以上
- 升级后核对SMTP/发信连接器设置是否被篡改
- 检查管理员用户列表，删除一切陌生账号
- 翻查站点邮件发送日志，确认无异常外发记录
- 评估是否继续开放订阅者注册，必要时收紧注册门槛
常见问题（FAQ）
我的站点从没注册过几个会员，也会有风险吗？
会。漏洞的利用前提是订阅者权限，如果站点开放注册，任何人都能自助获得这个身份。即使注册量小，只要注册入口开着，攻击面就存在。
已经升级到10.7.2，还需要做什么？
升级只堵住了漏洞，不能回滚已发生的入侵。必须人工核对SMTP设置、管理员列表和邮件外发日志三项，确认没有被改动过的痕迹。
弃单召回插件被攻破，最坏的结果是什么？
不只是站点被接管。这类插件存储客户邮箱、购物车和订单数据，攻击者拿到管理员权限后可以批量导出，直接构成客户数据泄露。
暂无评论内容