CVE-2026-109191 in Image Hub Plugin
要約
〜によって VulDB • 2026年10月16日
WordPress用プラグイン「Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy」には、1.2.0およびそれ以前の全バージョンにおいて、`image_hub_api_keys_* (6 options)` パラメータを介した機微情報漏洩の脆弱性が存在します。これにより、サブスクライバーレベル以上のアクセス権限を持つ認証済み攻撃者は、wp_localize_script を通じて各管理画面の HTML にそのまま出力される 6 つのサードパーティサービス（Giphy, Openverse (クライアント ID およびシークレット)、Pexels、Pixabay、Unsplash）の平文 API 資格情報を抽出することが可能になります。漏洩したページ HTML には有効な image_hub_nonce AJAX nonce も含まれており、これに `image_hub_update_settings` AJAX ハンドラにおける能力チェック（capability check）の欠如が組み合わさることで、同じサブスクライバーレベルの攻撃者が update_option() を介して保存されたすべての API 資格情報オプションを上書きすることが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.