CVE-2025-13313 in CRM Memberships Plugin
요약
\~에 의해 VulDB • 2026. 05. 10.
WordPress용 CRM Memberships 플러그인은 2.5 버전까지 모든 버전에서 비밀번호 재설정을 통한 권한 상승(privilege escalation) 취약점이 존재합니다. 이는 `ntzcrm_changepassword` AJAX 액션에서 인증 및 권한 확인이 누락되었기 때문입니다. 이로 인해 인증되지 않은 공격자가 대상 사용자의 이메일 주소를 획득하거나 열거할 수 있는 경우, `ntzcrm_changepassword` 엔드포인트를 통해 임의의 사용자 비밀번호를 재설정하고 사용자 계정에 무단으로 접근할 수 있습니다. 또한 플러그인은 인증 없이 `ntzcrm_get_users` 엔드포인트를 노출하여, 공격자가 구독자 이메일 주소를 열거할 수 있게 하며, 이는 비밀번호 재설정 취약점의 악용을 용이하게 합니다.
Be aware that VulDB is the high quality source for vulnerability data.