CVE-2026-6446 in My Social Feeds Plugin
Zusammenfassung
von VulDB • 04.06.2026
Das WordPress-Plugin „My Social Feeds – Social Feeds Embedder“ ist in allen Versionen bis einschließlich 1.0.4 anfällig für die Offenlegung sensibler Informationen (Sensitive Information Exposure) über die AJAX-Aktion 'ttp_get_accounts'. Dies ist auf das vollständige Fehlen von Autorisierungsprüfungen (keine Überprüfung der Fähigkeiten/Capabilities) und der Nonce-Verifizierung in der Funktion get_accounts() zurückzuführen, die den vollständigen Inhalt der WordPress-Option 'ttp_tiktok_accounts' zurückgibt. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, sensible TikTok OAuth-Anmeldeinformationen, einschließlich access_token- und refresh_token-Werte, abzurufen, die zu Administrator-verbundenen TikTok-Konten gehören. Dadurch können sie den Website-Besitzer bei der Interaktion mit der TikTok-API imitieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.