Cross-Site Request Forgery (CSRF) in Search Analytics for WP… (CVE-2026-7444, CVSS 8.1)

Summary

Vulnerability in Search Analytics for WP (WordPress plugin) (CVE-2026-7444). Data can be tampered with by attackers. Exploitable via MWTSA_Stats_Table.

Original description

The description as published by the source.

The Search Analytics for WP plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.4.16. This is due to missing or incorrect nonce validation on the process_bulk_action() function of MWTSA_Stats_Table. This makes it possible for unauthenticated attackers to delete arbitrary search-term records, including all associated search-history rows, via a forged request granted they can trick a user with access to the plugin's "Search Analytics" dashboard page (Administrator by default) into performing an action such as clicking on a link.

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

WordPressのプラグイン「Search Analytics for WP」に、バージョン1.4.16までのすべてのバージョンにおいてクロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。この問題は、MWTSA_Stats_Tableのprocess_bulk_action()関数でのノンスの不適切または不足した検証に起因します。この脆弱性により、未認証の攻撃者がプラグインの管理画面にアクセスできるユーザーを騙すことで、任意の検索用語レコードを削除することが可能となります。

❓ What is the problem

WordPress用プラグイン「Search Analytics for WP」でのクロスサイトリクエストフォージェリ（CSRF）の脆弱性。

📍 Affected scope

バージョン1.4.16までのすべてのバージョンのプラグイン内のMWTSA_Stats_Tableのprocess_bulk_action()関数。

🔥 Severity

高: CSRFにより未認証の攻撃者が任意のデータを削除可能。CVSSスコア8.1。

🔧 How to fix

ノンスの検証を適切に実装し、安全なCSRF対策を追加する。

🛡️ Workaround

影響を受けるプラグインバージョンのダッシュボードアクセスを制限し、不審なリンクをクリックしないよう注意する。

🔍 Detection

プラグインバージョンを確認し、影響を受けているか判断する。管理画面で異常なデータ削除が行われていないか監査する。

Cross-Site Request Forgery (CSRF) in Search Analytics for WP (WordPress plugin) (CVE-2026-7444)

Summary

Original description

AI summary

References