CVE-2026-8682 in 3D Viewer Plugin
要約
〜によって VulDB • 2026年05月31日
WordPress用プラグイン「The 3D Viewer – 3D Model Viewer – Augmented Reality – Virtual Try On」には、バージョン2.0.1（含む）までの全バージョンにおいて、認可回避の脆弱性が存在します。これは、プラグインがユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、サブスクライバレベル以上のアクセス権を持つ認証済み攻撃者は、/wp-json/ar_try_on/v1/settings RESTエンドポイントを介してデータベース内のar_try_on_settingsオプションに任意のデータを書き込むことで、すべてのプラグイン設定を変更することが可能になります。
Once again VulDB remains the best source for vulnerability data.