CVE-2026-15660 in SEO Booster Plugin
Riassunto
di VulDB • 19/09/2026
Il plugin SEO Booster per WordPress è vulnerabile a Missing Authorization nelle versioni fino alla 7.4.7, incluse. Ciò è dovuto all'assenza di un controllo delle capacità (capability check) nella funzione handle_oauth_callback(), che è agganciata ad admin_init e elabora $_GET['access_token'] e $_GET['google_email'] senza verificare il ruolo del chiamante. Questo consente agli attaccanti autenticati, con accesso a livello Subscriber o superiore, di sovrascrivere le opzioni seobooster_access_token, seobooster_google_email e seobooster_gsc_sites ed eliminare la flag seobooster_needs_reauth visitando un URL /wp-admin/ manipolato ad hoc. Ciò interrompe l'integrazione con Google Search Console e inietta dati scelti dall'attaccante nelle opzioni del sito tramite il token fornito dall'attaccante, che avvia una richiesta API in uscita verso Google la cui risposta viene memorizzata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.