CVE-2026-1672WordPress插件“BEAR – Bulk Editor and Products Manager Professional for WooCommerce”在1.1.5及以下版本中存在跨站请求伪造（CSRF）漏洞。该漏洞源于`woobe_redraw_table_row()`函数缺乏nonce验证。未经身份验证的攻击者可以通过诱导站点管理员点击恶意链接，利用此漏洞伪造请求，进而修改WooCommerce产品数据，包括价格、描述及其他产品字段。
该漏洞的技术核心在于WordPress插件开发中常见的安全缺失——Nonce验证遗漏。在受影响的BEAR插件版本中，`woobe_redraw_table_row()`函数负责处理表格行重绘及数据更新请求，但该函数在执行关键操作前未对请求来源进行合法性校验。WordPress的Nonce机制旨在防止CSRF攻击，通过验证一次性随机数来确保请求是由用户本人发起的。由于该插件缺失此验证，攻击者可以构造恶意的HTML页面或包含特定URL的图片。当拥有管理员权限的受害者访问该页面时，浏览器会自动携带受害者的Session Cookie向目标WordPress站点发送请求。服务器端将其视为合法的管理员操作，从而导致WooCommerce产品数据（如价格、库存、描述等）被恶意篡改。尽管攻击者无法直接获取敏感信息（机密性无影响），但数据的完整性受到了严重破坏。