CVE-2026-12981 (CVSS 7.5) - The CAFEHAUS API WordPress plugin through 1.0.0 does not have any authentication
CVE-2026-12981是CAFEHAUS API WordPress插件1.0.0及之前版本中的高危漏洞，CVSS 7.5。因密码修改API端点完全缺乏身份验证，未认证攻击者可任意重置包括管理员在内的任何用户密码，导致账户被完全接管。建议立即升级或禁用插件。
CVE-2026-12981 (CVSS 7.5) - The CAFEHAUS API WordPress plugin through 1.0.0 does not have any authentication
📋 漏洞概述
CAFEHAUS API WordPress插件1.0.0及之前版本存在未认证密码修改漏洞，可导致任意用户账户被接管。
📋 基础信息
| 受影响版本 | CAFEHAUS API WordPress plugin <= 1.0.0 |
| 漏洞类型 | 身份验证缺失（Missing Authentication） |
| CVSS | 7.5 · High |
| CVE | CVE-2026-12981 |
🔬 漏洞根因
该插件在处理用户密码更新请求的API端点时，完全没有实施任何身份验证或授权检查。攻击者无需提供任何凭据或角色证明即可直接向该端点发送修改密码的请求，后端未验证请求者的身份或操作权限，导致任意用户（包括管理员）的密码可被未认证攻击者任意覆盖。
🎯 攻击场景
1. 攻击者通过扫描或分析插件代码发现密码修改API端点（例如/wp-json/cafehaus/v1/update-password或类似自定义端点）。 2. 构造一个POST/GET请求，包含目标用户ID（如管理员ID=1）和新密码字段。 3. 将请求直接发送至未认证的API端点，无需任何Cookie或Token。 4. 服务器执行密码更新操作，返回成功响应。 5. 攻击者使用新设置的密码登录该用户账户，完成账户接管。
💥 漏洞影响
攻击者可在未认证情况下重置任意用户（包括管理员）密码，导致账户完全失陷。成功后可获得网站后台管理权限，进而窃取数据、植入恶意代码、篡改内容或进一步控制服务器，危害极大。影响范围：所有安装该插件的WordPress站点。
🛡️ 修复建议
立即升级到该插件的修补版本（若官方已发布，请更新至>1.0.0）；若无法升级，临时禁用该插件直到修复完成；开发者需在密码修改端点添加用户身份验证（如验证当前密码或nonce）以及权限检查（如确保只有用户本人或管理员可以修改密码）。
📎 参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2026-12981
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-12981
🚨 威胁评估
| 📈 EPSS 利用概率 | 暂无数据 |
| 🚨 CISA KEV | 未被已知利用 |
| 🔧 公开 PoC | 暂无公开 PoC |
⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-28 00:52 | 来源: NVD-Latest
🤖 常见问题解答（FAQ）
❓ 如何检测该漏洞是否已被利用？
检查Web服务器访问日志中是否有异常密码修改请求（如缺少Cookie的POST到未知端点）；监测用户密码被非预期修改的记录；查看管理员账户登录时间是否异常。
❓ 该插件是否仍在维护？
根据CVE描述，插件版本只到1.0.0且已停止更新，建议完全移除该插件，改用其他有知名度的WordPress API插件。
❓ 临时缓解措施有哪些？
通过WordPress钩子或Web应用防火墙（WAF）拦截未认证的对插件API端点的请求；添加.htaccess规则限制对插件目录的访问；修改插件源代码强制要求nonce验证（需谨慎）。