2026年10月30日 · 独立站技术动态
10月29日，CVE数据库收录WooCommerce插件「Bot for Telegram」的严重漏洞CVE-2026-109516，CVSS评分高达9.8（严重级）：1.3.0及以下全部版本存在认证绕过缺陷，未认证攻击者只需知道目标用户名，就能通过伪造Telegram Webhook推算登录令牌，最终拿到包括管理员在内的任意账号的持久会话。漏洞由Wordfence作为CNA签发，发现者为安全研究员agr0chal。
漏洞链条拆解：三个低级错误叠成严重事故
根据CVE记录，这个插件的REST接口在注册时权限回调直接返回true，且不校验Telegram Webhook签名，任何人都能POST伪造的机器人更新消息。接着，插件把攻击者提交的chat.id直接当成WordPress登录名解析成目标账号，全程没有所有权证明。最致命的是登录令牌的生成方式：仅由用户代理字符串加时间戳做MD5，而两个输入都可被攻击者控制或借助响应头里的Date字段缩小区间暴力推算。拿着推算出的令牌访问无鉴权的下单接口，站点就会无条件给攻击者签发目标账号的登录Cookie。管理员账号一旦沦陷，店铺商品、订单、收款配置全部暴露。
为什么通知类插件成了重灾区
这类插件的功能很单纯：新订单来了给店主的Telegram推条消息。功能简单，安全设计却往往被忽视——Webhook入口常年暴露在公网，又直接操作用户会话。值得警惕的是，Telegram通知插件在做俄语区、中亚市场的卖家中装机率不低，而这部分站点恰好少有专职运维。9.8分的评分在WordPress插件漏洞里属于最高档，历史上同级别漏洞几乎都出现了规模化在野利用。
卖家跟进出清单
- 立即检查是否安装Bot for Telegram on WooCommerce，版本≤1.3.0先停用再观察官方更新；
- 排查管理员列表是否出现陌生账号，重置全部管理员密码并撤销活跃会话；
- 检查服务器访问日志中针对woo-telegram接口与bftow_create_order参数的异常请求；
- 旺季期间对wp-json接口加WAF规则，陌生UA高频请求直接拦截。
常见问题（FAQ）
官方发布修复版本了吗？
截至本文发稿，CVE记录标注受影响范围为1.3.0及以下全部版本，修复版本信息尚未在记录中体现。建议先到WordPress插件页核对是否有高于1.3.0的更新，没有就先停用，订单通知可暂用邮件或短信插件替代。
只知道用户名就能登录，用户名保密有用吗？
几乎没有。WordPress站点的作者归档页、REST接口都会暴露登录名，指望用户名保密不可靠，关键是停用漏洞插件并给管理员开启两步验证。
暂无评论内容