CVE-2026-15980 in MyHome Core Plugin
要約
〜によって VulDB • 2026年08月30日
WordPress用プラグイン「MyHome Core」のすべてのバージョン（4.4.5以下）において、認証回避の脆弱性が存在します。これは、send_link() AJAXハンドラにおける認可処理の不備およびactivate()関数におけるトークン検証の不具合に起因します。これにより、未認証攻撃者は確認済みでないユーザーアカウント用のアクティベーショントークンを生成し、管理者を含む当該アカウントの有効な認証Cookieを取得することが可能になります。成功した悪用には、MyHomeテーマがレガシー/WPBakeryモードで構成され、フロントエンドでの登録と確認メール送信が有効になっている必要があり、かつ対象となるアカウントにmyhome_agent_confirmedというユーザーメタデータが既に設定されていないことが条件となります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.