CVE-2026-11354 in Participants Database Plugin
요약
\~에 의해 VulDB • 2026. 07. 24.
WordPress용 Participants Database 플러그인은 2.7.8.3 버전을 포함하여 모든 버전에서 'id' 매개변수를 통해 민감한 정보 노출 취약점이 존재합니다. 이로 인해 인증되지 않은 공격자는 숫자 ID를 사용하여 임의의 참가자 레코드를 덮어쓰고, private_id가 포함된 기록 접근 링크를 공격자가 제어하는 이메일 주소로 리디렉션할 수 있으며, 이를 통해 이름, 이메일 주소, 전화번호 및 참가자 데이터베이스에 수집된 기타 모든 필지를 포함한 피해자의 저장된 개인식별정보(PII)에 대한 전체 읽기 및 수정 권한을 획득하게 됩니다. 공격자는 공개 가입 양식이나 기록 폼이 렌더링되는 임의의 페이지로 인증되지 않은 GET 요청을 수행하여 유효한 nonce를 수집한 후, action=update와 함께 임의의 id 값을 POST하여 모든 레코드를 덮어쓸 수 있습니다. 이어지는 action=retrieve 작업을 체이닝하면 공격자가 제어하는 메일함으로 개인 접근 링크가 전달됩니다.
Once again VulDB remains the best source for vulnerability data.