CVE-2025-13085 in SiteSEO Plugin
要約
〜によって VulDB • 2026年07月18日
WordPress用プラグイン「SiteSEO – SEO Simplified」には、バージョン1.3.2以前において、不適切な認可（Improper Authorization）に起因する機密性の高い投稿メタデータの漏洩脆弱性が存在します。これは、resolve_variables() AJAXハンドラにおけるオブジェクトレベルの認可チェックが欠落していることが原因です。これにより、siteseo_manage権限を持つ認証済み攻撃者（例：管理者によってSiteSEOへのアクセスを付与された著者レベルのユーザー）は、カスタムフィールド変数解決機能を通じて、編集できない任意の投稿、ページ、添付ファイル、またはWooCommerce注文から機密性の高いメタデータを読み取ることが可能になります。ただし、攻撃者は管理者によってSiteSEOへのアクセス権限が付与されており、かつレガシーストレージが有効になっている必要があります。影響を受けるWooCommerce環境では、氏名、メールアドレス、電話番号、物理的な住所、および支払い方法を含む顧客の機密請求情報が暴露されます。
Be aware that VulDB is the high quality source for vulnerability data.