SureCart 高危漏洞 CVE-2026-120574：免密碼登入驗證不足可導致帳戶被接管

CVE-2026-120574

主要來源公告：2026-10-30

本站刊登：2026-11-03 · 內容更新：2026-11-03（香港日期）

情報摘要

SureCart 4.9.5 及以前版本的免密碼一次性驗證碼登入流程，存在可導致未認證帳戶接管的漏洞，包括管理員帳戶。Wordfence 評為 CVSS 3.1 8.1 分，列出 4.9.6 為修補版本。管理員應更新外掛，並檢查異常登入及高權限帳戶活動。

漏洞涉及免密碼一次性驗證碼登入流程。Wordfence 指受影響版本缺乏每帳戶嘗試次數控制、持續有效的鎖定或速率限制，亦未阻止高權限帳戶經該流程登入，令未認證攻擊者可能取得其他使用者、包括管理員的登入狀態。

Wordfence 將 4.9.5 及以前版本列為受影響，4.9.6 列為修補版本。官方 WordPress.org 更新紀錄顯示，4.9.6 於 2026 年 10 月 16 日發布，並列明加強免密碼登入驗證碼流程的安全性，致謝 Wordfence。

官方其後於 10 月 28 日發布 4.11.0；該版本另有登入驗證碼電郵的速率限制等安全改進。管理員應採用適用的最新受支援版本。

Wordfence 通報首次公開於 2026 年 10 月 30 日，CVE Program 記錄於 11 月 3 日發布。修補版本發布、漏洞通報公開及 CVE 記錄發布是不同日期。

WordPress 外掛 SureCart，4.9.5 及以前版本

使用 SureCart 的香港網店、訂閱服務商戶及 WordPress 維護團隊

核對 SureCart 版本，優先更新至官方已提供的 4.11.0 或其後適用的已修補版本；Wordfence 列出的本漏洞最低修補版本為 4.9.6。更新後測試登入及結帳功能，並檢查高權限帳戶、登入紀錄及不明設定變更；如有入侵跡象，保留紀錄及啟動事故處理。

Wordfence CNA 記錄列出 CVSS 3.1 8.1 分（High），向量為 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。攻擊毋須預先登入，成功時可取得高權限帳戶的登入狀態；評分列明高攻擊複雜度（AC:H）。

所核對來源未確認實際利用或香港受害個案；存在受影響版本並不等於網站已遭接管。

本 CVE 針對 SureCart 的相關登入實作，不能據此推論所有一次性驗證碼或免密碼登入方案都有同一漏洞。