📌 CVE-2026-93528：WooCommerce 的 NP Quote Request 中存在未认证订单数据泄露
• 漏洞类型：敏感数据泄露（CWE-200） • 受影响软件：woo-rfq-for-woocommerce < 2.4.16 • 原始研究者：Murad Islamzada • 供应商：Neah Plugins (Cyrus)
概述与根本原因
插件 includes/classes/gpls_woo_rfq_functions.php 文件中的 gpls_woo_rfq_get_rfq_cart() 函数在检查用户传入的 key（_REQUEST['key']）参数时，未验证订单的所有权。未认证用户可输入任意订单 key 并创建另一个订单。
概念验证（PoC）逻辑 在研究过程中，确定无需任何 cookie 或登录，即可通过特制查询获取敏感信息： curl -s -c cookies.txt "https://yoursite.com/quote-request/?gpls_woo_rfq_nonce=ANON_NONCE&key=VICTIM_ORDER_KEY&ukey=anything" -o response.html
修复与协作时间线 该问题已通过负责任的方式沟通，并在与开发者的专业合作框架内成功解决： • 2026 年 9 月 11 日：向供应商分享了漏洞的完整技术细节及建议的修复逻辑。 • 2026 年 9 月 14 日：供应商发布了初步补丁。然而，代码分析显示，在访客会话中仍可绕过该检查，随后提出了改进逻辑（故障关闭方法）。 • 2026 年 9 月 15 日：供应商应用了最终修复，经过安全审计后，该漏洞被完全关闭。 • 2026 年 9 月 15 日：开发者正式在 WordPress.org 上发布了 2.4.16 版本。
