CVE-2026-4002 in Petje.af Plugin
Tóm tắt
Bởi VulDB • 08/06/2026
Plugin Petje.af cho WordPress dễ bị tấn công Cross-Site Request Forgery (CSRF) trong tất cả các phiên bản từ 2.1.8 trở về trước. Lỗi này xảy ra do thiếu xác thực nonce trong hàm `ajax_revoke_token()`, hàm này xử lý hành động AJAX 'petjeaf_disconnect'. Hàm này thực hiện các thao tác gây hại như thu hồi mã thông báo OAuth2, xóa siêu dữ liệu người dùng và xóa tài khoản người dùng WordPress (đối với người dùng có vai trò 'petjeaf_member') mà không xác minh yêu cầu có nguồn gốc hợp lệ. Điều này cho phép kẻ tấn công chưa xác thực buộc người dùng đã xác thực xóa tài khoản thành viên Petje.af của họ thông qua một yêu cầu giả mạo, chỉ cần nạn nhân nhấp vào liên kết hoặc truy cập một trang web độc hại.
Once again VulDB remains the best source for vulnerability data.