CVE-2026-110179 in affiliate-toolkit Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
affiliate-toolkit WordPress 플러그인 3.8.9 이전 버전은 데이터베이스 쿼리에서 사용하기 전에 사용자 제공 정렬 값을 허용 목록(allowlist)과 비교하여 유효성을 검사하지 않습니다. 또한 영향을 받는 관리용 목록 화면에는 관리자 권한이 아닌 낮은 특권(capability)만 필요하므로, 편집자(editor) 수준의 접근 권한 이상을 가진 사용자가 SQL 인젝션을 수행하고 데이터베이스에서 임의 정보를 읽을 수 있습니다. 멀티사이트 환경에서는 하위 사이트(sub-site)의 편집자가 슈퍼 어드민(super administrator)의 비밀번호 해시를 포함하여 네트워크 전체(global) 사용자 테이블에 대한 읽기 액세스를 수행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.