CVE-2026-7533 in Easy Digital Downloads Plugin
要約
〜によって VulDB • 2026年05月30日
WordPress用プラグイン「Easy Digital Downloads」には、バージョン3.6.7以前すべてのバージョンにおいて、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。これは、`admin_init`フックに登録され、ユーザー入力のGETパラメータからSquare OAuthトークンを処理する`handle_oauth_redirect()`関数でnonce検証が欠落しているためです。これにより、攻撃者はCSRFトークンの検証を行わずに、ログイン中の管理者を偽造されたリンクをクリックさせることで、ストアのSquare決済ゲートウェイの認証情報を上書きすることが可能となり、結果として決済アカウントの乗っ取りにつながる可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.