CVE-2025-12028

概要

# WordPress用IndieAuthプラグインのクロスサイトリクエストフォージェリの脆弱性 WordPress用IndieAuthプラグインは、バージョン4.5.4を含む全バージョンにおいて、クロスサイトリクエストフォージェリ（CSRF）の脆弱性の影響を受けます。これは、`login_form_indieauth()`関数およびwp-login.php?action=indieauthの認可エンドポイントにおいて、nonce検証が欠如していることに起因します。この脆弱性により、認証されていない攻撃者が、ログイン中のユーザーにリンクのクリックや悪意のあるページへのアクセスなどの操作を実行させることができれば、偽造されたリクエストを介して、認証済みユーザーに攻撃者管理のアプリケーションに対するOAuth認可リクエストの承認を強制することが可能になります。その後、攻撃者は盗み出した認可コードをアクセストークンと交換し、付与されたスコープ（作成、更新、削除）を用いて被害者のアカウントを事実上乗っ取ることができます。

• CVE-2025-12028PoC

  CVE-2025-12028の概念実証エクスプロイトで、WordPress IndieAuthプラグインにおけるCSRFベースのOAuthトークン窃取を実証し、盗まれた認証情報による不正なAPIアクセスを可能にします。