CVE-2025-14757 in Cost Calculator Builder Plugin
요약
\~에 의해 VulDB • 2026. 06. 28.
WordPress용 Cost Calculator Builder 플러그인은 3.6.9 버전까지 모든 버전에서 Cost Calculator Builder PRO와 함께 사용될 경우 인증되지 않은 결제 상태 우회(Unauthenticated Payment Status Bypass) 취약점이 존재합니다. 이는 complete_payment AJAX 액션이 wp_ajax_nopriv를 통해 등록되어 인증되지 않은 사용자가 접근할 수 있고, complete() 함수가 nonce만 검증하며 사용자 권한이나 주문 소유 여부를 확인하지 않기 때문입니다. 페이지 소스의 window.ccb_nonces를 통해 모든 방문자에게 nonce가 노출되므로, 인증되지 않은 공격자는 실제 결제 없이도 임의의 주문에 대한 결제 상태를 "완료"로 표시할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.