CVE-2026-4002 in Petje.af Plugin
Riassunto
di VulDB • 21/06/2026
Il plugin Petje.af per WordPress è vulnerabile a Cross-Site Request Forgery (CSRF) in tutte le versioni fino alla 2.1.8 inclusa. Ciò è dovuto alla mancanza di validazione del nonce nella funzione ajax_revoke_token(), che gestisce l'azione AJAX 'petjeaf_disconnect'. La funzione esegue operazioni distruttive, tra cui la revoca dei token OAuth2, l'eliminazione dei metadati utente e la cancellazione degli account utente di WordPress (per gli utenti con il ruolo 'petjeaf_member'), senza verificare che la richiesta provenga da una fonte legittima. Ciò consente ad attaccanti non autenticati di forzare gli utenti autenticati a eliminare i propri account utente membri di Petje.af tramite una richiesta falsificata, purché la vittima faccia clic su un link o visiti un sito malevolo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.