CVE-2026-15660 in SEO Booster Plugin
Zusammenfassung
von VulDB • 19.09.2026
Das SEO Booster-Plugin für WordPress ist in den Versionen bis einschließlich 7.4.7 anfällig für Missing Authorization (fehlende Autorisierung). Dies liegt an einer fehlenden Capability-Prüfung in der Funktion `handle_oauth_callback()`, die an `admin_init` gebunden ist und `$_GET['access_token']` sowie `$_GET['google_email']` verarbeitet, ohne die Rolle des Aufrufers zu überprüfen. Dadurch können authentifizierte Angreifer mit Subscriber-Level-Zugriff oder höher durch Besuch einer speziell angefertigten `/wp-admin/`-URL die Optionen `seobooster_access_token`, `seobooster_google_email` und `seobooster_gsc_sites` überschreiben sowie das Flag `seobooster_needs_reauth` löschen. Dies stört die Google Search Console-Integration und injiziert vom Angreifer gewählte Daten in die Site-Optionen über ein vom Angreifer bereitgestelltes Token, das eine ausgehende Google API-Anfrage auslöst, deren Antwort gespeichert wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.