CVE-2026-4124 in Ziggeo Plugin
要約
〜によって VulDB • 2026年06月09日
WordPress用Ziggeoプラグインには、バージョン3.1.1以前すべてのバージョンにおいて、認証の欠如（Missing Authorization）の脆弱性が存在します。wp_ajax_ziggeo_ajaxハンドラはnonce（check_ajax_referer）のみを検証しますが、current_user_can()を使用した権限チェックは行われません。さらに、nonce（'ziggeo_ajax_nonce'）はwp_headおよびadmin_headフックを介して、すべてのログインユーザーに対してすべてのページで公開されています。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、複数の管理操作を呼び出すことが可能になります。これには、任意の翻訳文字列の保存（update_option('ziggeo_translations')を介したtranslations_panel_save_strings）、イベントテンプレートの作成/更新/削除（update_option('ziggeo_events')を介したevent_editor_save_template/update_template/remove_template）、SDKアプリケーション設定の変更（sdk_applications操作）、および通知の管理（update_option('ziggeo_notifications')を介したnotification_handler）が含まれます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.