CVE-2026-92965: неавторизованный перехват OAuth-кода в WordPress-плагине TikTok до версии 1.4.2
В WordPress-плагине TikTok (версии 1.2.0–1.4.1) обнаружена уязвимость, позволяющая любому посетителю сайта запустить обмен OAuth-кода от имени сайта. Проблема затрагивает ресурсы, использующие плагин TikTok для интеграции с рекламной платформой. Критичность высокая: эксплуатация не требует аутентификации.
Подробности
Уязвимость затрагивает плагин TikTok для WordPress в версиях с 1.2.0 по 1.4.1 включительно; в версии 1.4.2 она устранена. Согласно описанию, плагин не проверяет, авторизован ли запрос, прежде чем обработать код входа, переданный в URL. В результате любой посетитель сайта может заставить ресурс обменять произвольный код на рекламной платформе, используя собственные учётные данные сайта. Дополнительную опасность создают две особенности реализации. Во-первых, сравнение кода выполняется нестрого, поэтому срабатывание вызывают даже URL, лишь отдалённо напоминающие ожидаемый. Во-первых, обработчик callback-запроса запускается при каждом обращении к сайту, а не только в момент входа администратора. Это существенно расширяет поверхность атаки: для эксплуатации достаточно, чтобы злоумышленник сформировал подходящую ссылку и добился её обработки на уязвимом сайте. Уязвимость классифицируется как отсутствие проверки авторизации (unauthenticated OAuth code redemption). Значение CVSS в записи CVE не указано. По характеру воздействия проблема позволяет использовать учётные данные сайта для взаимодействия с рекламной платформой от его имени, что может привести к несанкционированным действиям в рекламном кабинете.Что делать
Основная рекомендация — обновить плагин TikTok для WordPress до версии 1.4.2 или более поздней. Это единственный надёжный способ устранить уязвимость. Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить доступ к обработчику callback-запросов на уровне веб-сервера или WAF, блокируя подозрительные URL с параметрами кода; усилить мониторинг обращений к сайту с параметрами OAuth; проверить журналы на предмет необычных callback-запросов и несанкционированной активности в рекламном кабинете. Также целесообразно пересмотреть выданные сайту разрешения на рекламной платформе и при необходимости отозвать их. Важно понимать, что митигации носят временный характер и не заменяют установку исправленной версии плагина. Итог: CVE-2026-92965 — серьёзная уязвимость в WordPress-плагине TikTok, позволяющая неавторизованному злоумышленнику инициировать обмен OAuth-кода с использованием учётных данных сайта. Владельцам сайтов на WordPress, использующим плагин TikTok версий 1.2.0–1.4.1, следует как можно скорее обновиться до версии 1.4.2.Источник: CVE Project (cvelistV5)