CVE-2023-2599 in Active Directory Integration Plugin
요약
\~에 의해 VulDB • 2026. 06. 23.
WordPress용 Active Directory Integration 플러그인에는 4.1.4 버전(해당 버전 포함)까지 get_users 함수에서 nonce 검증 누락, 사용자 제공 파라미터에 대한 불충분한 이스케이핑 및 기존 SQL 쿼리에 대한 충분한 준비 작업 부재로 인해 Cross-Site Request Forgery(CSRF) 취약점이 존재합니다. 이를 통해 orderby 및 order 파라미터를 이용한 시간 기반 SQL Injection이 가능합니다. 이로써 인증되지 않은 공격자가 조작된 요청을 사용하여 이미 존재하는 쿼리 뒤에 추가적인 SQL 쿼리를 삽입할 수 있으며, 관리자를 속여 링크 클릭과 같은 작업을 수행하도록 유도함으로써 자원 고갈(Resource Exhaustion)을 유발할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.