CVE-2026-109516

Nome do Software Vulnerável e Versões Afetadas Bot for Telegram on WooCommerce versões anteriores a 1.3.1

Descrição Existe uma falha de bypass de autenticação que permite que atacantes não autenticados assumam qualquer conta, incluindo administradores, utilizando apenas um nome de usuário. O problema ocorre porque o endpoint REST /wp-json/woo-telegram/v1/main/ é registrado sem as verificações de permissão adequadas e não verifica as assinaturas do webhook do Telegram. Um atacante pode enviar uma atualização de bot forjada com o message.chat.id definido como um nome de login do WordPress alvo. A função bftow get user system id() resolve este valor via get user by('login', $tgId) sem prova de propriedade e gera um token de login baseado no HTTP USER AGENT e no horário atual. Este token pode ser utilizado no endpoint ?action=bftow create order&bftow token=, que chama login user by id e wp set auth cookie() para conceder uma sessão autenticada persistente. Aproximadamente 300 instalações estão potencialmente afetadas.

Recomendações Remova o plugin. Como medida paliativa temporária, restrinja o acesso ao endpoint REST /wp-json/woo-telegram/v1/main/.