The Search Analytics for WP plugin for WordPress is vulnerab…(CVE-2026-7444・CVSS 8.1)

概要

The Search Analytics for WP plugin for WordPress is vulnerable to Cross-Site Request Forgery in...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

The Search Analytics for WP plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.4.16. This is due to missing or incorrect nonce validation on the process_bulk_action() function of MWTSA_Stats_Table. This makes it possible for unauthenticated attackers to delete arbitrary search-term records, including all associated search-history rows, via a forged request granted they can trick a user with access to the plugin's "Search Analytics" dashboard page (Administrator by default) into performing an action such as clicking on a link.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

WordPressのプラグイン「Search Analytics for WP」に、バージョン1.4.16までのすべてのバージョンにおいてクロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。この問題は、MWTSA_Stats_Tableのprocess_bulk_action()関数でのノンスの不適切または不足した検証に起因します。この脆弱性により、未認証の攻撃者がプラグインの管理画面にアクセスできるユーザーを騙すことで、任意の検索用語レコードを削除することが可能となります。

❓ 何が問題か

WordPress用プラグイン「Search Analytics for WP」でのクロスサイトリクエストフォージェリ（CSRF）の脆弱性。

📍 影響範囲

バージョン1.4.16までのすべてのバージョンのプラグイン内のMWTSA_Stats_Tableのprocess_bulk_action()関数。

🔥 重要度

高: CSRFにより未認証の攻撃者が任意のデータを削除可能。CVSSスコア8.1。

🔧 修正方法

ノンスの検証を適切に実装し、安全なCSRF対策を追加する。

🛡️ 暫定回避

影響を受けるプラグインバージョンのダッシュボードアクセスを制限し、不審なリンクをクリックしないよう注意する。

🔍 検知方法

プラグインバージョンを確認し、影響を受けているか判断する。管理画面で異常なデータ削除が行われていないか監査する。