CVE-2026-6446
Açıklama
WordPress için geliştirilen My Social Feeds – Social Feeds Embedder eklentisinin 1.0.4 dahil tüm sürümleri, 'ttp_get_accounts' AJAX işlemi üzerinden Hassas Bilgi İfşası (Sensitive Information Exposure) zafiyetine sahiptir. Bu durum, 'ttp_tiktok_accounts' WordPress seçeneğinin tüm içeriğini döndüren get_accounts() fonksiyonunda yetkilendirme kontrollerinin (yetenek doğrulaması yok) ve nonce doğrulamasının tamamen eksik olmasından kaynaklanmaktadır. Bu durum, Abone (Subscriber) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların; yöneticiye bağlı TikTok hesaplarına ait access_token ve refresh_token değerleri dahil hassas TikTok OAuth kimlik bilgilerini elde etmelerini sağlayarak, TikTok API ile etkileşim kurarken site sahibinin kimliğine bürünmelerine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bplugins My Social Feeds – Social Feeds Embedder Plugin for WordPress | v ≤ 1.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.