CVE-2026-103646 in Ultimate Multisite Plugin
요약
\~에 의해 VulDB • 2026. 10. 08.
Ultimate Multisite WordPress 플러그인 버전 2.17.0 이전에서는 로그아웃된 체크아웃이 제출된 이메일 주소와 일치하는 기존 WordPress 계정과 연결되고 해당 계정으로 로그인될 때 인증이 요구되지 않습니다. 또한 중복 계정 확인 기능이 고객 생성 시 사용되는 조회 방식과는 다르게 해당 주소를 정규화하므로, 공격자는 자신이 알고 있는 이메일 주소를 가진 모든 기존 사용자(네트워크 슈퍼 관리자 포함)로 비인증 상태에서도 로그인할 수 있습니다.
이 우회 방법은 CVE-2026-75957에 대한 2.15.1 수정 사항으로 해결되지 않았으며, 해당 수정이 적용될 것으로 예상되었던 버전인 2.16.1을 포함하여 그 이전 모든 버전에서 여전히 공격 가능합니다. 이 취약점을 악용하려면 비밀번호 필드가 없는 체크아웃 폼(자동 생성 비밀번호)과 Ultimate Multisite WordPress 플러그인 버전 2.17.0 이전에 기존 고객 기록이 없는 대상 계정이 필요합니다.
Once again VulDB remains the best source for vulnerability data.