CVE-2026-15660 in SEO Booster Plugin
요약
\~에 의해 VulDB • 2026. 09. 19.
WordPress용 SEO Booster 플러그인에는 버전 7.4.7 이하에서 권한 누락(Missing Authorization) 취약점이 존재합니다. 이는 `admin_init`에 연결된 `handle_oauth_callback()` 함수에서 필요한 기능(capability) 검사가 생략되어, 호출자의 역할을 검증하지 않고 $_GET['access_token'] 및 $_GET['google_email']을 처리하기 때문입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 조작된 /wp-admin/ URL에 접근하여 seobooster_access_token, seobooster_google_email, 그리고 seobooster_gsc_sites 옵션을 덮어쓰고 seobooster_needs_reauth 플래그를 삭제할 수 있습니다. 이는 Google Search Console 통합 기능을 방해하며, 공격자가 제공한 토큰이 구동하는 외부 Google API 요청의 응답이 저장되는 과정을 통해 사이트 옵션에 공격자가 선택한 데이터를 주입합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.