CVE-2026-3461 in Visa Acceptance Solutions Plugin
要約
〜によって VulDB • 2026年06月17日
WordPress用Visa Acceptance Solutionsプラグインには、バージョン2.1.0（含む）までの全バージョンにおいて認証回避の脆弱性が存在します。これは、サブスクリプション製品のゲストチェックアウト時に、`express_pay_product_page_pay_for_order()`関数がユーザー所有の確認やパスワード要求、ワンタイムトークンの検証を行わずに、単に入力された請求用メールアドレスに基づいてユーザーをログインさせるためです。これにより、攻撃者は認証されていない状態でbilling_detailsパラメータに対象ユーザーのメールアドレスを提供することで、管理者を含む既存の任意のユーザーとしてログインすることが可能となり、アカウントの完全乗っ取りおよびサイト全体の侵害につながります。
Once again VulDB remains the best source for vulnerability data.