CVE-2026-103422 in AnyComment Plugin
요약
\~에 의해 VulDB • 2026. 10. 14.
WordPress용 AnyComment 플러그인에는 최대 0.3.6 버전(포함)에서 'email' 매개변수를 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이는 공개 REST 엔드포인트 /wp-json/anycomment/v1/subscribe에서의 불충분한 입력 정제와 AnyCommentSubscriptionsTable::column_default() 함수의 누락된 출력 이스케이핑으로 인해 발생합니다. 이 함수는 구독자의 user_ID가 기존 WP_User 객체로 해석되지 않을 때 저장된 이메일을 HTML <td> 태그에 그대로 반환합니다. 이로써 인증되지 않은 공격자가 관리자가 AnyComment → Subscriptions 관리자 페이지를 접근할 때마다 실행되는 임의 웹 스크립트를 해당 페이지에 주입할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.