WooCommerce Telegram 外掛有帳戶接管漏洞，尚未有官方修補

CVE-2026-109516

主要來源公告：2026-10-28

本站刊登：2026-10-29 · 內容更新：2026-10-29（香港日期）

情報摘要

Bot for Telegram on WooCommerce 1.3.0 及以前版本有 CVE-2026-109516 驗證繞過漏洞；未登入攻擊者只要知道用戶名稱，即可接管包括管理員在內的帳戶。Patchstack 在本次核查時仍標示沒有官方修補。

Wordfence 提交的 CVE 紀錄確認，問題可讓未經驗證的攻擊者冒充任意 WordPress 用戶，包括管理員。這是特定第三方外掛的驗證缺陷，不代表所有 WooCommerce 網店或 Telegram 帳戶都受影響。

CVE 紀錄的披露時間為 10 月 28 日 14:44 UTC，紀錄本身於 10 月 29 日 03:39 UTC 發布；Patchstack 頁面亦標示 10 月 28 日發布。因此本文公告日期採用 10 月 28 日，而本站發布日期為 10 月 29 日。

Patchstack 預期漏洞可能成為攻擊目標，但這是風險預測，不等於已確認野外利用。已核查的來源未提供成功利用或香港受害案例證據。

WordPress 外掛 Bot for Telegram on WooCommerce 1.3.0 及以前版本

使用該外掛的香港網店、WordPress 管理員及網站代管團隊

編輯防護建議：先核對是否安裝這款外掛及其版本；在沒有官方修補的情況下，停用或移除受影響外掛，評估替代服務並留意正式更新。檢查異常管理員登入、新增帳戶及未授權設定變更；不要只靠更改密碼代替處理驗證繞過漏洞。

Wordfence 作為 CNA 在 CVE 紀錄列 CVSS v3.1 9.8（Critical）；並非根據已證實的香港事故分級。

尚未有官方修補的狀態只反映本次核查；後續版本及供應商公告可能改變。

沒有已核實的利用或香港受害證據，不等於漏洞未曾被利用。本文不提供攻擊重現步驟。