CVE-2026-109516

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.6%
CWE: CWE-287
KEV Durumu: Hayır

Yayım tarihi: 29 Ekim 2026

WooCommerce için Telegram Bot eklentisi, WordPress'te 1.3.0 sürümüne kadar olan tüm sürümlerde Kimlik Doğrulama Atlatma yoluyla Hesap Ele Geçirilmesine karşı savunmasızdır. `/wp-json/woo-telegram/v1/main/` REST endpoint'i `permission_callback => '__return_true'` ile kayıtlıdır ve Telegram webhook imza doğrulaması yapmaz, bu da bir saldırganın herhangi bir WordPress oturum açma adına ayarlanmış bir `message.chat.id` ile sahte bir bot güncellemesi göndermesine olanak tanır. `bftow_get_user_system_id()` fonksiyonu, saldırgan tarafından sağlanan bu değeri `get_user_by('login', $tgId)` ile hedef hesaba çözümler ve `md5($_SERVER['HTTP_USER_AGENT'] . time())` olarak hesaplanan bir oturum açma jetonu yazar - her iki girdi de tamamen saldırganın kontrolü altındadır veya saniyeler içinde yanıtın kendi `Date` başlığı kullanılarak sınırlıdır. Sonuçlanan jeton, yetenek denetimi yapılmayan ve nonce'siz `?action=bftow_create_order&bftow_token=` endpoint'inde değiştirilebilir, bu da `login_user_by_id` aracılığıyla koşulsuz olarak `wp_set_auth_cookie()` çağırır ve saldırgana hedef hesaba kalıcı bir oturum açma çerezi verir. Bu, saldırganların yalnızca o kullanıcının kullanıcı adını bildiği takdirde herhangi bir WordPress kullanıcısı olarak, yöneticiler dahil, oturum açmasına olanak tanır.

Orijinal açıklama (İngilizce)

The Bot for Telegram on WooCommerce plugin for WordPress is vulnerable to Authentication Bypass leading to Account Takeover in all versions up to, and including, 1.3.0. The `/wp-json/woo-telegram/v1/main/` REST endpoint is registered with `permission_callback => '__return_true'` and performs no Telegram webhook signature verification, allowing an unauthenticated attacker to POST a forged bot update with a `message.chat.id` set to any WordPress login name; `bftow_get_user_system_id()` resolves this attacker-supplied value to the targeted account via `get_user_by('login', $tgId)` with no ownership proof, and writes a login token computed as `md5($_SERVER['HTTP_USER_AGENT'] . time())` — both inputs are fully attacker-controlled or bounded within seconds using the response's own `Date` header. The resulting token is redeemable at the unauthenticated, capability-check-free, and nonce-less `?action=bftow_create_order&bftow_token=` endpoint, which calls `wp_set_auth_cookie()` unconditionally via `login_user_by_id`, issuing a persistent authenticated session cookie for the targeted account to the attacker. This makes it possible for unauthenticated attackers to log in as any WordPress user, including administrators, given only that user's username.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.