平台
wordpress
组件
woocommerce
修复版本
5.4.4
5.4.5
5.6.3
5.7.3
5.8.2
5.9.2
6.0.2
6.1.3
6.2.3
6.3.2
6.4.2
6.5.2
6.6.2
6.7.1
CVE-2026-3589 描述了 WooCommerce 插件中的一个跨站请求伪造 (CSRF) 漏洞。该漏洞是由于缺少或不正确的 nonce 验证造成的。受影响的版本为 ≤ 10.5.3。修复版本为 10.5.3，建议用户尽快升级。
WooCommerce 的 CVE-2026-3589 漏洞影响所有 10.5.3 之前的版本。这是一种跨站请求伪造 (CSRF) 漏洞，允许未经身份验证的攻击者如果能够诱骗管理员点击恶意链接，则在 WordPress 网站上执行未经授权的操作。这可能导致商店设置的修改、产品的创建，甚至数据的删除，具体取决于受影响的管理员的权限。此漏洞的严重程度很高，尤其是在具有活跃用户群的电子商务网站以及定期访问管理面板的管理员而言，尤其令人担忧。
攻击者可以通过发送网络钓鱼电子邮件或在 WooCommerce 管理员是成员的论坛上发布恶意链接来利用此漏洞。当经过身份验证的管理员点击链接时，将在网站上执行不需要的操作。nonce 验证的缺失允许攻击者伪造请求，使其看起来合法。利用的复杂性取决于攻击者欺骗管理员的能力，但底层漏洞极大地简化了该过程。由于电子商务网站通常包含敏感信息和金融交易，因此此漏洞尤其令人担忧。
漏洞利用状态
EPSS
0.03% (10% 百分位)
CVSS 向量
缓解 CVE-2026-3589 最有效的措施是将 WooCommerce 更新到 10.5.3 或更高版本。此更新包含必要的修复程序，以正确验证 nonce 并防止 CSRF 攻击。此外，建议实施良好的安全实践，例如教育管理员有关点击可疑链接的风险，并使用提供 CSRF 保护的 WordPress 安全插件。定期监控网站日志以查找异常活动也有助于检测和响应潜在攻击。
更新到 10.5.3 版本，或更新的已修补版本
漏洞分析和关键警报直接发送到您的邮箱。
CSRF (跨站请求伪造) 攻击会迫使经过身份验证的用户在 Web 应用程序中执行不需要的操作。攻击者利用用户的活动会话在用户不知情的情况下执行命令。
如果您使用的是 WooCommerce 的 10.5.3 之前的版本，则您的网站容易受到攻击。请立即更新。
Nonce 是用于防止 CSRF 攻击的唯一安全令牌。它们验证请求是否来自合法的来源。
是的，有几个 WordPress 安全插件可以提供对 CSRF 攻击和其他漏洞的保护。研究并选择一个值得信赖的插件。
立即更改所有管理员密码，检查网站日志以查找异常活动，并考虑从干净的备份中恢复。
6.8.3
6.9.5
7.0.2
7.1.2
7.2.4
7.3.1
7.4.2
7.5.2
7.6.2
7.7.3
7.8.4
7.9.2
8.0.5
8.1.4
8.2.5
8.3.4
8.4.3
8.5.5
8.6.4
8.7.3
8.8.7
8.9.5
9.0.4
9.1.7
9.2.5
9.3.6
9.4.5
9.5.4
9.6.4
9.7.3
9.8.7
9.9.7
10.0.6
10.1.4
10.2.4
10.3.8
10.4.4
10.5.3
10.5.3
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。