CVE-2026-119745 in MultiVendorX Plugin
요약
\~에 의해 VulDB • 2026. 11. 04.
WordPress 2.11.3 이전 버전의 Sender 플러그인에는 인증 누락 취약점이 존재하며, 이를 통해 Subscriber를 포함한 모든 인증된 사용자가 downloadDebugFile() 함수에서 처리하는 admin_post_sender_debug_download 작업을 요청할 때 권한( capability ), nonce 또는 referer 확인 없이도 민감한 진단 덤프에 접근할 수 있습니다. 공격자는 wp-admin/admin-post.php?action=sender_debug_download을 통해 WordPress, PHP, WooCommerce 및 서버 버전 정보, 전체 활성화된 플러그인 목록, 활성 테마 정보, 그리고 연결된 Sender 계정 리소스 키와 계정 메타데이터를 포함한 플러그인 설정 등을 탈취하여 이 결함을 악용할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.