CVE-2026-12800 in Premium Packages Plugin
요약
\~에 의해 VulDB • 2026. 07. 28.
WordPress용 Premium Packages – Sell Digital Products Securely 플러그인에는 최대 6.2.0 버전(해당 버전 포함)에서 POST /wp-json/wpdmpp/v1/cart/coupon REST API 엔드포인트의 'code' 매개변수를 통해 SQL Injection 취약점이 존재합니다. 이는 CouponCodes::find() 메서드 내에서 사용자 제공 매개변수에 대한 불충분한 이스케이프 처리로 인해, $wpdb->prepare() 또는 esc_sql()을 사용하지 않고 해당 매개변수가 원시 SQL 쿼리 문자열에 직접 삽입되기 때문입니다. 이로 인해 인증되지 않은 공격자가 기존 쿼리에 추가적인 SQL 쿼리를 연결하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.