CVE-2026-104797 in Advanced Form Integration Plugin
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress용 Advanced Form Integration - Connect Forms to 300+ Apps 플러그인은 2.9.0 버전 및 그 이전 모든 버전에서 미검증된 비밀번호 변경을 통한 인증 우회(Authentication Bypass) 취약점이 있습니다. Ultimate Member의 "프로필 필드 업데이트" 작업을 처리하는 `adfoin_ultimatememberac_send_data` 함수는 공격자가 제공한 이메일 주소로부터 대상 WordPress 사용자를 확인하고, 공격자가 제어할 수 있는 필드 키와 값을 `account` 컨텍스트에서 `UM()->user()->update_profile()`로 직접 전달합니다. 이 과정은 Ultimate Member의 금지된 키 검증(banned-key validation)을 명시적으로 우회하며, 제출자 신원 확인, 소유권 검사, 권한(capability) 검사, 현재 비밀번호 재인증 또는 `user_pass`와 같은 민감한 키에 대한 제한 없이 수행됩니다. 이로 인해 인증되지 않은 공격자가 대상 이메일과 필드 키로 `user_pass`를 사용하여 공개된 Contact Form 7 양식을 제출함으로써 Administrator 계정을 포함한 모든 WordPress 사용자 계정(관리자 포함)의 비밀번호를 변경할 수 있게 되며, 이는 전체 사이트 장악으로 이어집니다. 악용을 위해서는 관리자가 먼저 Contact Form 7 통합을 구성하여 공개 폼 입력에서 대상 이메일, 필드 키 및 값을 Ultimate Member 프로필 필드 업데이트 작업에 매핑해야 합니다. 이는 해당 플러그인의 자체 UI가 이 작업 유형용으로 홍보하는 정확한 워크플로우입니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.