CVE-2026-15660 in SEO Booster Plugin
要約
〜によって VulDB • 2026年09月19日
WordPress用SEO Boosterプラグインには、バージョン7.4.7以前においてMissing Authorization（認可の欠如）の脆弱性が存在します。これは、admin_initフックに接続され、呼び出し元のロールを検証せずに$_GET['access_token']および$_GET['google_email']を処理するhandle_oauth_callback()関数で必要な権限チェックが不足していることに起因します。これにより、Subscriberレベル以上のアクセス権を持つ認証済み攻撃者は、悪意のある/wp-admin/ URLにアクセスすることで、seobooster_access_token、seobooster_google_email、およびseobooster_gsc_sitesのオプションを上書きし、seobooster_needs_reauthフラグを削除することが可能です。この脆弱性はGoogle Search Consoleとの統合を妨害するとともに、攻撃者が指定したトークン（これは外部へのGoogle APIリクエストを引き起こし、そのレスポンスが保存される）を通じてサイトオプションに攻撃者が選択したデータを注入します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.