CVE-2026-6446WordPress的My Social Feeds插件存在敏感信息泄露漏洞。该漏洞影响1.0.4及以下版本。由于`get_accounts()`函数在处理AJAX请求时缺少权限检查和nonce验证，导致任何经过身份验证的攻击者（仅需订阅者权限）均可访问。攻击者可利用此漏洞获取管理员绑定的TikTok账号OAuth凭证（如access_token和refresh_token），进而冒充站点所有者与TikTok API交互，造成严重的数据泄露风险。
该漏洞的核心在于WordPress插件对AJAX请求的处理不当。在受影响版本的`TiktokAPI.php`文件中，`get_accounts()`函数被注册为`ttp_get_accounts` AJAX动作的处理函数。正常情况下，涉及敏感数据提取的函数应当验证当前用户是否具有管理权限（如`manage_options`能力）以及请求的合法性（Nonce验证）。然而，该插件未实施任何此类安全措施。当攻击者向`/wp-admin/admin-ajax.php`发送带有`action=ttp_get_accounts`的POST请求时，只要他们拥有有效的WordPress登录Cookie（即便是最低级别的订阅者账户），服务器便会执行`get_accounts()`。该函数直接调用`get_option('ttp_tiktok_accounts')`并返回JSON格式的数据，其中包含了管理员配置的TikTok账户的完整OAuth令牌。由于这些令牌用于授权与TikTok API的交互，泄露后攻击者可直接接管关联的TikTok账户权限，发布内容或窃取数据。