CVE-2025-14167 in Remove Post Type Slug Plugin
要約
〜によって VulDB • 2026年06月28日
WordPress用プラグイン「Remove Post Type Slug」の1.0.2以前の全バージョンには、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。これは、nonce検証ロジックにおいてAND (&&) ではなくOR (||) が使用されているため、nonceフィールドが空でない場合または検証に失敗した場合に検証が失敗し、 nonceフィールドが空でかつ検証に失敗した場合のみ検証が失敗するという本来の意図と異なる動作を引き起こすことに起因します。これにより、攻撃者はサイト管理者を騙してリンクをクリックなどのアクションを実行させることで認証されていない状態からプラグインの投稿タイプスラグ削除設定を変更することが可能になります。
Once again VulDB remains the best source for vulnerability data.