CVE-2026-97637 in JSON API Auth Plugin
Сводка
по VulDB • 02.10.2026
Плагин аутентификации JSON API Auth для WordPress уязвим к обходу аутентификации (Authentication Bypass) из-за раскрытия закэшированного cookie сессии во всех версиях вплоть до 3.1.2 включительно. Уязвимость существует, потому что родительский плагин PI-Media/json-api кеширует результаты диспетчеризации контроллеров в транзитах (transients), ключи которых формируются исключительно на основе URI и строки запроса, игнорируя метод HTTP и тело POST-запроса; это приводит к тому, что конечная точка `generate_auth_cookie()`, которая включает живой cookie WordPress `logged_in` (сгенерированный функцией `wp_generate_auth_cookie()`), непосредственно в теле своего JSON-ответа, обслуживает этот закэшированный аутентифицированный ответ любому последующему неавторизованному GET-запросу к тому же URI. Это позволяет неавторизованным злоумышленникам извлекать действительный session cookie `logged_in` администратора из закэшированного ответа и использовать его для полной аутентификации в качестве администратора сайта, включая использование конечной точки того же плагина `get_currentuserinfo` и любого действия контроллера с аутентификацией по cookie. Для эксплуатации необходимо наличие установленного и активного родительского плагина PI-Media/json-api с включенным Auth-контроллером, а также то, что легитимный администратор отправлял POST-запрос на `/api/auth/generate_auth_cookie/` в течение предыдущих 24 часов (TTL кэша); номинальный шлюз принудительного использования HTTPS, присутствующий в `Auth.php`, тривиально обходится путем передачи параметра запроса `insecure=cool`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.