拥有数百万安装量的WordPress安全插件Really Simple Security（CVE-2024-10924，CVSS 9.8）及缓存插件LiteSpeed Cache相继曝出未授权接管超级管理员权限的重大漏洞。

认证绕过漏洞技术复盘

漏洞存在于双因子认证的REST API接口中。黑客仅需构造带有管理员ID的简单请求，即可骗取合法的管理员会话Cookie。官方已在9.1.2版本中紧急修复。

站长应急处置建议

立即升级至最新插件版本，并在Cloudflare等WAF层面对/wp-json/高危接口设置严格的限流和异常参数拦截规则。