CVE-2026-18346
Açıklama
WordPress için TikTok eklentisi, 1.4.1 sürümü dahil tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olduğunu düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların wp_options içindeki satıcının kayıtlı TikTok entegrasyon erişim belirtecini üzerine yazarak sitenin TikTok Business ve ürün kataloğu entegrasyonunu ele geçirmesini mümkün kılar. Başarılı bir istismar için saldırganın, satıcının kayıtlı TikTok uygulaması için düzenlenmiş geçerli bir TikTok OAuth auth_code sağlaması gerekir; çünkü kayıtlı erişim belirteci üzerine yazılmadan önce eklentinin belirteç değişimi işleminin TikTok API'sinden message='OK' yanıtı alması gerekmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tiktokbusinessplugin TikTok | v ≤ 1.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.