CVE-2026-8198 in Activity Logs, User Activity Tracking, Multisite Activity Log Plugin
要約
〜によって VulDB • 2026年05月22日
WordPress用プラグイン「Logtivity」のActivity Logs、User Activity Tracking、Multisite Activity Log機能には、バージョン3.3.6以前に認証回避による情報漏洩の脆弱性が存在します。これは、verifyAuthorizationメソッド内の論理欠陥が原因で、Authorizationヘッダーを含まないリクエストがBearerトークンの検証をスキップし、無条件でtrueを返す処理に到達することで、すべての認証チェックを回避するためです。これにより、認証されていない攻撃者が/wp-json/logtivity/v1/options REST APIエンドポイントにアクセスし、LogtivityサービスへのAPI呼び出しでサイトになりすますために使用可能なlogtivity_site_api_keyを含むすべてのプラグイン設定オプションを取得することが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.