bingdadaWooCommerce社交登录插件存在严重认证绕过漏洞，允许未认证攻击者以管理员身份登录并接管网站。漏洞评级9.8，影响所有版本至2.8.7，用户需立即更新至2.8.8。
近日，WordPress生态系统中发现了一个高危安全漏洞，影响广受欢迎的WooCommerce社交登录插件。该漏洞允许未认证的攻击者以任何现有用户的身份登录，包括管理员账户，从而可能导致整个网站被接管。此漏洞的严重性评级为9.8分（满分10分），影响所有版本直至并包括2.8.7版本。
WooCommerce社交登录插件旨在为电商商店客户提供无缝的一键登录体验，支持通过Facebook、Google、Amazon、PayPal和Apple等服务账户快速结账。然而，这个便利功能背后隐藏着一个致命的安全缺陷。 该漏洞特别令人担忧，因为攻击者无需获取任何用户权限角色即可利用它。漏洞影响插件的Apple登录处理器，该处理器负责处理用户通过Apple账户登录时接收到的信息。Apple提供一个包含登录者信息的身份令牌，该令牌受数字签名保护，应通过Apple的公钥进行验证以确认其真实性。然而，插件在此处存在缺陷，使得攻击者能够提供现有用户的电子邮件地址并获取该账户的访问权限。
根据Wordfence的安全公告：“这使得未认证的攻击者能够通过提供伪造的id_token，其负载包含目标用户的电子邮件地址，以任何现有WordPress用户（包括管理员）的身份登录，因为该电子邮件地址在没有任何角色排除的情况下被用于解析WordPress账户，并立即为其颁发认证会话。” 由于管理员账户未被排除在此漏洞之外，成功利用此漏洞可能为使用该插件的WooCommerce网站提供管理级别的访问权限。这意味着攻击者可以完全控制网站，包括修改内容、安装恶意插件、窃取客户数据等，后果不堪设想。
该漏洞已被分配通用漏洞披露标识符CVE-2026-8457，并于2026年8月1日公开披露。Wordfence强烈建议所有使用2.8.7及以下版本的用户立即更新到2.8.8或更高版本，以修复此安全漏洞。
立即更新插件：登录WordPress后台，前往“插件”页面，检查WooCommerce社交登录插件是否有可用更新，并尽快更新至最新版本。
WooCommerce社交登录插件的这个严重漏洞提醒我们，即使是最便捷的登录方式也可能带来安全风险。对于网站所有者来说，及时更新插件、实施严格的安全措施是保护网站和用户数据的关键。Search Engine Journal将持续关注此类安全事件，为读者提供最新的行业动态和防护建议。 ---
Bingdada 是一个专注 SEO、GEO（生成式引擎优化）与 AEO（答案引擎优化）的内容平台，由资深内容编辑、SEO 技术工程师与 AI 研究专家组成的团队持续运营。我们追踪搜索引擎与生成式 AI 的最新动态，为读者提供准确、实用、可落地的方法论与行业洞察。 编辑团队：内容策划 · 技术编辑 · AI 研究组 网站：bingdada.com © 2026 Bingdada. 保留所有权利。
Поместите бренд в ленту читателя
Рекламные места внутри статей — моменты высокого внимания, идеальны для запуска продуктов и набора на мероприятия.
SEO & GEO 技术探索者，专注于搜索引擎优化和生成式引擎优化。
AI 降低了漏洞利用门槛，WordPress 推出核心安全计划，通过优化发布流程、清理积压和 AI 主动防御，重塑安全体系。
Rank Math插件被指控在用户打开帮助支持时秘密创建管理员权限，引发安全担忧。本文分析技术细节、风险及防护措施。
当 AI 答案层让意图在表达瞬间就被变现，搜索广告收入与点击流量的关系正在脱钩。本文从营收结构、排名与变现分离、测量工具更替三个角度，推演 Google 到2027年的可能格局，并指出从业者最该警惕的是计数数据与推断数据的混淆。
Получайте свежие материалы по SEO и GEO.
Мы уважаем вашу конфиденциальность. Отписаться можно в любой момент.
Войдите, чтобы присоединиться к обсуждению
