CVSS 9.0 以上
CVE-2026-109516
要約
WordPress用プラグイン「Bot for Telegram on WooCommerce」のバージョン1.3.0までに、認証バイパスによるアカウント乗っ取りの脆弱性がある。REST エンドポイントが permission_callback に '__return_true' を指定して登録されており、Telegram の Webhook 署名検証も行われないため、未認証の攻撃者が message.chat.id に任意のログイン名を設定した偽のボット更新を送信できる。その結果、生成されたトークンを別のエンドポイントで使うと対象アカウントの認証済みセッションクッキーが発行され、ユーザー名だけで管理者を含む任意のユーザーとしてログインできるようになる。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Bot for Telegram on WooCommerceWordPressTelegram
このタグの新着を RSS で受け取る: Bot for Telegram on WooCommerce / WordPress / Telegram(使い方)
判定の理由
- CVSS 9.0 以上