CVE-2026-3488 in WP Statistics Plugin
要約
〜によって VulDB • 2026年05月29日
WordPress用プラグイン「WP Statistics」の全バージョン（14.16.4を含む）において、認可の欠如（Missing Authorization）の脆弱性が存在します。これは、`wp_statistics_get_filters`、`wp_statistics_getPrivacyStatus`、`wp_statistics_updatePrivacyStatus`、および `wp_statistics_dismiss_notices` を含む複数のAJAXハンドラで、必要な権限チェックが欠落しているためです。これらのエンドポイントは `check_ajax_referer()` を介して `wp_rest` ノンスのみを検証しますが、`current_user_can()` やプラグイン独自の `User::Access()` メソッドなどの権限チェックは適用されていません。`wp_rest` ノンスはすべての認証済みWordPressユーザーが取得可能であるため、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、機密性の高い分析データ（ユーザーID、ユーザー名、メールアドレス、訪問者追跡データ）へのアクセス、プライバシー監査コンプライアンスステータスの取得および変更、および管理通知の閉じる（非表示）操作を行うことが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.