CVE‑2026‑109516：Bot for Telegram on WooCommerce ≤ 1.3.0 未授權認證繞過可導致帳號接管
CVE-2026-109516 - Bot for Telegram on WooCommerce <= 1.3.0 - Unauthenticated Authentication Bypass to Account Takeover via Fake Telegram Webhook + Brute-Forced Login Token
Bot for Telegram on WooCommerce 1.3.0 版存在未授權認證繞過漏洞，攻擊者可利用偽造 Telegram Webhook 取得任何 WordPress 帳號的持久登入 Cookie。
此漏洞允許未授權攻擊者以任何 WordPress 帳號取得持久登入權，對網站管理者安全構成嚴重威脅，需即時升級至 1.3.1 以修補。
WordPress 的 Bot for Telegram on WooCommerce 外掛程式在 1.3.0 之前的所有版本（包含 1.3.0）存在身份驗證繞過漏洞，可能導致帳號被佔用。`/wp-json/woo-telegram/v1/main/` REST 端點以 `permission_callback => '__return_true'` 註冊，且未對 Telegram webhook 簽名進行驗證，允許未授權攻擊者 POST 一個偽造的機器人更新，`message.chat.id` 被設為任何 WordPress 登入名稱；`bftow_get_user_system_id()` 會將此攻擊者提供的值透過 `get_user_by('login', $tgId)` 解析為目標帳號，且不需要擁有權證明，接著寫入一個登入令牌，該令牌計算方式為 `md5($_SERVER['HTTP_USER_AGENT'] . time())`——兩個輸入均完全可被攻擊者控制，或僅以回應自身 `Date` 標頭在秒級內限定。產生的令牌可在未授權、無許可權檢查、無 nonce 的 `?action=bftow_create_order&bftow_token=` 端點兌換，該端點會無條件透過 `login_user_by_id` 呼叫 `wp_set_auth_cookie()`，為目標帳號發放持久化的已驗證 session cookie 給攻擊者。這使得未授權攻擊者僅憑目標使用者的使用者名稱，就能以任何 WordPress 使用者（包括管理員）的身分登入。
影響
受影響產品
以下產品受 CVE-2026-109516 漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，
產品
受
影響，
資訊仍未在下表中呈現。
尚未記錄受影響產品
通用漏洞評分系統（Common Vulnerability Scoring System）是一套標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們從各個來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | MITRE-CVE |
將 Bot for Telegram on WooCommerce 外掛程式更新至 1.3.1 或更高版本，以修復身份驗證繞過漏洞。
- 更新 Bot for Telegram on WooCommerce 外掛程式。
- 套用版本 1.3.1 或更新版本。
- 確認外掛程式已更新。
我們掃描 GitHub 倉儲以偵測新的概念驗證（PoC）攻擊。以下清單為已發布於 GitHub 的公開攻擊與概念驗證集合（依最近更新時間排序）。
由於可能的效能問題，結果僅限於前 15 個倉儲。
以下清單為文章中提及 CVE-2026-109516 漏洞的新聞。
EPSS 是對未來 30 天內觀測到利用活動的每日機率估計。下圖顯示該漏洞的 EPSS 分數歷史。