漏洞速览
- 漏洞编号：
CVE-2026-97637 - 风险评分：
9.8（严重） - 首次披露：2026-10-01
- 最近更新：2026-10-01
- 软件类型：插件
- 软件标识：
json-api-auth - 受影响版本：<= 3.1.2
- 修复版本：3.1.3
- 是否已修复：是
漏洞详情
JSON API Auth 插件在最高至 3.1.2 的所有版本中存在因缓存会话 Cookie 泄露导致的身份验证绕过漏洞。该漏洞的根源在于其依赖的 PI‑Media/json‑api 父插件将控制器调度结果仅以 URI 和查询字符串为键缓存到临时记录中，忽略了 HTTP 方法和 POST 请求体。由于这一缓存机制，generate_auth_cookie() 端点会在 JSON 响应正文中直接嵌入由 wp_generate_auth_cookie() 生成的实时 logged_in cookie，随后任何对同一 URI 的未认证 GET 请求都会收到已缓存的认证响应。攻击者因此能够从不经过身份验证的请求中获取有效的管理员 logged_in 会话 cookie，并使用该 cookie 完全冒充站点管理员登录，包括通过同一插件的 get_currentuserinfo 端点或任何需要 cookie 认证的控制器操作。要成功利用，需要在系统中安装并启用带有 Auth 控制器的 PI‑Media/json‑api 父插件，并且在此前 24 小时的缓存有效期内，至少有一位合法管理员向 /api/auth/generate_auth_cookie/ 发送过 POST 请求。此外，Auth.php 中名义上的 HTTPS 强制检查可以通过在请求中加入 insecure=cool 参数轻易绕过。
影响与风险
- 漏洞类型：Unauthenticated Authentication Bypass via Cached 'generate_auth_cookie' Response
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Chi Trung Huynh – Duy Tan Universiy
修复建议
- 按官方建议执行修复：更新至 3.1.3 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
