CVE-2026-100159 in Popup Box Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
WordPress용 Popup Box 플러그인 6.4.1부터 6.4.2 버전까지 임의 단축 코드 실행(Arbitrary Shortcode Execution) 취약점이 존재합니다. 이는 `ays_popup_get_user_ip()` 함수가 클라이언트가 제어할 수 있는 Client-IP, X-Forwarded-For, Forwarded, X-Forwarded, Forwarded-For 요청 헤더를 읽어들일 때, 단축 코드 구문에서 사용되는 대괄호(`[`), 따옴표(`"`), 공백(` `), 등호(`=`) 문자 등을 제거하지 않는 `sanitize_text_field()` 함수로만 sanitizing(정제)하기 때문에 발생합니다. 이후 해당 값이 Ays_Pb_Data::replace_message_variables() 메서드에서 %%user_ip_address%% 토큰이 나타나는 팝업 본문 어디든 raw str_replace를 통해 치환되며, 이스케이프 처리 없이 wp_footer 훅 시점의 Ays_Pb_Public::ays_autoembed() 함수에서 do_shortcode()에 전달됩니다. 이로 인해 인증되지 않은 공격자가 관리자가 팝업의 Custom Content 본문에 %%user_ip_address%% 토큰을 추가한 경우, 서버 상에서 임의로 등록된 단축 코드를 공격자가 제공한 속성(attribute)과 함께 실행할 수 있으며, 이를 통해 사이트 설치된 단축 코드들이 노출하는 데이터를 읽거나 기타 작업을 수행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.