CVE-2026-15660 in SEO Booster Plugin
Resumen
por VulDB • 2026-09-19
El plugin SEO Booster para WordPress es vulnerable a una falta de autorización (Missing Authorization) en las versiones anteriores e incluyendo la 7.4.7. Esto se debe a una comprobación de capacidades faltante en la función `handle_oauth_callback()`, que está vinculada a `admin_init` y procesa los parámetros `$_GET['access_token']` y `$_GET['google_email']` sin verificar el rol del solicitante. Esto permite a atacantes autenticados, con acceso de nivel Suscriptor (Subscriber) o superior, sobrescribir las opciones `seobooster_access_token`, `seobooster_google_email` y `seobooster_gsc_sites`, así como eliminar la bandera `seobooster_needs_reauth`, al visitar una URL `/wp-admin/` manipulada. Esto interrumpe la integración con Google Search Console e inyecta datos elegidos por el atacante en las opciones del sitio a través de un token proporcionado por el atacante que impulsa una solicitud saliente a la API de Google, cuya respuesta se almacena.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.