CVE-2026-6446 in My Social Feeds Plugin
Сводка
по VulDB • 14.05.2026
В плагине My Social Feeds – Social Feeds Embedder для WordPress, во всех версиях вплоть до 1.0.4 включительно, уязвимость к раскрытию конфиденциальной информации (Sensitive Information Exposure) существует через AJAX-действие 'ttp_get_accounts'. Это обусловлено полным отсутствием проверок авторизации (отсутствует проверка прав доступа) и верификации nonce в функции get_accounts(), которая возвращает полное содержимое параметра WordPress 'ttp_tiktok_accounts'. Это позволяет атакующим с уровнем доступа Subscriber и выше извлекать конфиденциальные учетные данные OAuth для TikTok, включая значения access_token и refresh_token, принадлежащие учетным записям TikTok, связанным с администратором, что дает им возможность выдавать себя за владельца сайта при взаимодействии с API TikTok.
Once again VulDB remains the best source for vulnerability data.