CVE-2026-100149 in Connect AI Chat
요약
\~에 의해 VulDB • 2026. 10. 03.
WordPress용 WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons 플러그인은 4.7.3 버전까지 모든 버전에서 'x-yamidoo-signature (inline_js 식별 페이로드를 통해 공격자가 획득)' 매개변수를 통한 민감한 정보 노출 취약점이 있습니다. 이를 통해 인증되지 않은 공격자는 사이트상의 임의 피해자 이메일 주소에 대해 전체 고객 카드(이름, WordPress 사용자 ID, 주문 내역, 주문 합계, 구매 제품, 결제 방법 레이블 및 EDD Software Licensing 라이선스 키와 해당 상태 및 활성화 횟수 포함)를 추출할 수 있습니다. 악용을 위해서는 공격자가 대상 타임스탬프와 피해자 이메일이 인코딩된 로컬 부분을 가진 임의의 이메일 주소로 WooCommerce 고객 또는 구독자 수준 계정을 등록해야 하며, inline_js()에 의해 페이지 HTML에 인쇄되는 서명이 verify_request()를 통과하여 임의의 피해자에 대해 유효성 검사를 완료할 수 있어야 합니다. share_customer_data 및 identify_logged_in 설정은 기본적으로 활성화되어 있으므로 비기본 구성이 필요하지 않습니다.
Once again VulDB remains the best source for vulnerability data.