拥有超400万次安装的WordPress安全插件Really Simple Security曝出严重漏洞，CVSS威胁评分高达9.8分。该缺陷允许攻击者在无需密码的情况下以任意用户（含管理员）身份登录，获取站点完全控制权，进而可能导致恶意软件注入、内容篡改及访客攻击等严重后果。
插件概况与市场表现
Really Simple Security是一款轻量级模块化WordPress安全插件，提供安全加固、双因素认证、漏洞检测及SSL证书生成等功能。其模块化设计允许用户按需启用功能，避免加载冗余进程影响性能。该插件在官方存储库中口碑极佳，五星好评率超97%，一星差评不足1%。
漏洞详情与风险分析
此次曝光的认证绕过漏洞属于高危未授权访问类型，利用门槛极低。攻击者仅需知晓用户名即可绕过验证机制，直接接管网站账户权限。相比需窃取凭证的传统攻击方式，此类漏洞更易被大规模自动化利用。
技术成因
据Wordfence分析，漏洞存在于9.0.0至9.1.1.1版本中。当“双因素身份验证”功能开启时，`check_login_and_get_user`函数在处理两步验证REST API操作的用户检查逻辑存在错误，导致未经身份验证的攻击者可伪造任意现有用户会话完成登录。监测数据显示，过去24小时内Wordfence已拦截针对该漏洞的攻击310次。
修复建议
官方已发布Really Simple Security 9.1.2版本修复该安全问题。更新日志明确标注为“安全：身份验证绕过”。强烈建议所有受影响用户立即升级至9.1.2或更高版本，以消除安全隐患。