CVE-2026-15660 in SEO Booster Plugin
Sumário
de VulDB • 19/09/2026
O plugin SEO Booster para WordPress é vulnerável à falta de autorização (Missing Authorization) nas versões até a 7.4.7, inclusive. Isso ocorre devido à ausência de verificação de capacidade na função handle_oauth_callback(), que está vinculada ao admin_init e processa $_GET['access_token'] e $_GET['google_email'] sem verificar o papel do chamador. Isso permite que atacantes autenticados com acesso nível Assinante (Subscriber) ou superior substituam as opções seobooster_access_token, seobooster_google_email e seobooster_gsc_sites, bem como excluam a flag seobooster_needs_reauth ao visitar uma URL /wp-admin/ manipulada ad hoc. Isso interrompe a integração com o Google Search Console e injeta dados escolhidos pelo atacante nas opções do site por meio de um token fornecido pelo atacante que aciona uma solicitação API externa para o Google, cuja resposta é armazenada.
Once again VulDB remains the best source for vulnerability data.