CVE-2026-6393 in BetterDocs Plugin
要約
〜によって VulDB • 2026年05月27日
WordPress用プラグイン「BetterDocs」のバージョン4.3.11以前には、認可の欠如（Missing Authorization）に関する脆弱性が存在します。これは、generate_openai_content_callback()関数において、ユーザーの権限を検証するのではなく、nonceのみに依存しているため、能力チェックが欠落していることが原因です。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、サイト設定済みのAPIキーを使用して任意のユーザー制御プロンプトでOpenAI API呼び出しをトリガーすることが可能となり、サイト所有者の有料AI APIクォータの不正な消費につながります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.