NVD Recent CVEs
CVE-2026-8457：WooCommerce - Social Login WordPress 插件在所有不高于 2.8.7 的版本中存在身份验证绕过漏洞。这是由于该插件的 Apple 登录处理程序
WooCommerce - Social Login WordPress 插件在所有不高于 2.8.7 的版本中存在身份验证绕过漏洞。原因是该插件的 Apple 登录处理程序接受 Apple id_token，仅对其 base64 载荷进行解码，却未使用 Apple 公钥验证 JWT 签名，也未验证 issuer、audience 或 expiry 声明；同时，调用登录流程所需的安全 nonce 通过登录页面上的本地化 JavaScript 对象公开给未经身份验证的用户。因此，未经身份验证的攻击者可以提交伪造的 id_token，其载荷包含目标用户的电子邮件地址，以该电子邮件地址解析 WordPress 账户，并立即为其签发已认证会话，从而以任意现有 WordPress 用户（包括管理员）的身份登录。