WordPress QRcode Login for WeChat 插件未授权账户接管漏洞 (CVE-2026-13597)

漏洞概述 漏洞名称: QRcode Login for WeChat <= 1.3 - Unauthenticated Account Takeover 描述: 该插件未正确验证WeChat webhook请求，因为其签名检查始终通过，并且泄露了生成的登录代码。这允许未经身份验证的攻击者伪造登录事件，读取登录代码，并通过未经身份验证的AJAX操作以该用户身份登录，包括管理员，无需密码。 CVE编号: CVE-2026-13597 分类: - 类型: AUTHBYPASS - OWASP top 10: A2: Broken Authentication and Session Management - CWE: CWE-287 - CVSS: 9.8 (critical) 影响范围 受影响的插件: qrcode-login-for-weixin 已知修复: 无 修复方案 PoC代码: 页面提示PoC将在问题修复后显示，因此当前页面无PoC代码。 其他信息 原始研究员: João Ramos Maciel 提交者: João Ramos Maciel 提交者网站: https://treesec.com.br/ 验证状态: Yes WPVDB ID: 5e856219-ece5-4d79-8375-fc0cbc37d6c 时间线: - 公开发布日期: 2026-07-06 - 添加日期: 2026-07-06 - 最后更新日期: 2026-07-24 相关漏洞 2013-03-24: Backupbuddy - importbuddy.php step Parameter Manipulation Authentication Bypass 2014-08-01: WordPress <= 3.0.5 wp-admin/press-this.php Privilege Escalation 2024-03-11: Hubbb Lite < 1.3.1 - Unauthenticated Password Protected Posts Access 2016-06-21: Advanced Access Manager <= 3.2.1 - Privilege Escalation 2025-09-18: Service Finder SMS System <= 2.0.0 - Authentication Bypass 总结 该漏洞涉及QRcode Login for WeChat插件，存在未授权账户接管的风险，影响版本为1.3及以下。目前尚无已知修复方案，建议用户尽快更新或采取其他安全措施。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

WordPress QRcode Login for WeChat 插件未授权账户接管漏洞 (CVE-2026-13597)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

WordPress QRcode Login for WeChat 插件未授权账户接管漏洞 (CVE-2026-13597)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！