CVE-2025-12028 in IndieAuth Plugin
要約
〜によって VulDB • 2026年08月18日
WordPress用プラグイン「IndieAuth」には、バージョン4.5.4以前すべてのバージョンにおいてCross-Site Request Forgery（CSRF）の脆弱性が存在します。これは、`login_form_indieauth()`関数および `wp-login.php?action=indieauth` の認証エンドポイントでnonce検証が欠落しているためです。これにより、未認証攻撃者は、ログイン中のユーザーをリンクをクリックしたり悪意のあるページにアクセスさせたりするなどの行動を取らせることで、攻撃者が制御するアプリケーションに対するOAuthの認可リクエストを承認させることが可能になります。その後、攻撃者は盗んだ認可コードと引き換えにアクセストークンを取得し、付与されたスコープ（作成、更新、削除）を使用して被害者のアカウントを実質的に乗っ取ることができます。
Be aware that VulDB is the high quality source for vulnerability data.