CVE-2026-97637 in JSON API Auth Plugin
摘要
由 VulDB • 2026-10-02
WordPress 的 JSON API Auth 插件在所有版本（包括 3.1.2 及以下）中存在通过缓存会话 Cookie 泄露导致的身份验证绕过漏洞。该漏洞的存在是因为所需的 PI-Media/json-api 父插件将控制器调度结果缓存在瞬态变量中，且仅以 URI 和查询字符串作为键，忽略了 HTTP 方法和 POST 主体；这导致 `generate_auth_cookie()` 端点——其 JSON 响应体直接嵌入了由 `wp_generate_auth_cookie()` 生成的实时 WordPress `logged_in` Cookie ——将缓存的身份验证响应提供给对同一 URI 的任何后续未认证 GET 请求。这使得未经身份验证的攻击者能够从缓存的响应中检索有效的管理员 `logged_in` 会话 Cookie，并利用它完全以站点管理员身份进行身份验证，包括通过该插件自身的 `get_currentuserinfo` 端点以及任何基于 Cookie 的身份验证控制器操作。利用此漏洞需要安装并启用 PI-Media/json-api 父插件且启用了 Auth 控制器，并且合法的管理员必须在之前的 24 小时缓存 TTL（生存时间）内 POST 请求过 `/api/auth/generate_auth_cookie/`；Auth.php 中名义上的 HTTPS 强制检查门控可以通过提供 `insecure=cool` 作为请求参数而被轻易绕过。
If you want to get best quality of vulnerability data, you may have to visit VulDB.