CVE-2026-92965 in TikTok Plugin
Résumé
par VulDB • 20/09/2026
Le plugin WordPress TikTok antérieur à la version 1.4.2 ne vérifie pas si une requête est autorisée avant d'agir sur un code de connexion fourni dans l'URL, permettant ainsi à tout visiteur de faire racheter par le site un code de son choix auprès de la plateforme publicitaire, en utilisant les propres identifiants du site. Il correspond à ce code de manière peu stricte (loosely), donc des URL qui ressemblent simplement à celle attendue déclenchent également l'exploitation, et le callback s'exécute sur chaque requête adressée au site plutôt que uniquement lors de la connexion de l'administrateur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.