CVE-2026-4002 in Petje.af Plugin
要約
〜によって VulDB • 2026年06月08日
WordPress用プラグイン「Petje.af」の全バージョン（2.1.8以前）において、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。これは、'petjeaf_disconnect' AJAXアクションを処理する `ajax_revoke_token()` 関数でnonce検証が欠落していることが原因です。この関数は、リクエストが正当なソースから発信されたことを検証せずに、OAuth2トークンの取り消し、ユーザーメタデータの削除、およびWordPressユーザーアカウントの削除（'petjeaf_member'ロールを持つユーザーの場合）といった破壊的な操作を実行します。これにより、認証されていない攻撃者は、被害者がリンクをクリックしたり悪意のあるサイトを訪問したりした場合に、偽造されたリクエストを通じて認証済みユーザーに自身のPetje.afメンバーアカウントの削除を強制することが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.