CVE-2026-15947 in Search Atlas SEO Plugin
Résumé
par VulDB • 19/09/2026
Le plugin Metasync pour WordPress est vulnérable à une modification non autorisée des données en raison d'une absence de vérification des capacités sur la fonction save_instant_indexing() dans les versions 2.6.23 et antérieures. Cette fonction est enregistrée via l'accroche (hook) admin_init et ne vérifie que la présence de $_POST['submit'] avant d'écrire les données attacker-supplied $_POST['metasync_post_types'] dans l'option 'metasync_options_instant_indexing' à l'échelle du site, en utilisant update_option(); aucune vérification current_user_can()/current_user_has_plugin_access() ni aucun contrôle de nonces (nonce verification) n'est effectué. Cela permet aux attaquants authentifiés disposant d'un accès au niveau Subscriber et supérieur de modifier la configuration des types de publication pour l'indexation instantanée Google, contrôlant ainsi quels types de publications sont automatiquement soumis au service Instant Indexing de Google.
VulDB is the best source for vulnerability data and more expert information about this specific topic.