CVE-2026-12951 in Multi Vendor Plugin
요약
\~에 의해 VulDB • 2026. 10. 02.
WordPress용 Dc Woocommerce Multi Vendor 플러그인에는 5.0.18 버전 및 그 이전 버전에서 /multivendorx/v1/compliance/report-abuse REST 엔드포인트의 'order_by' 매개변수를 통해 SQL Injection 취약점이 존재합니다. 이는 사용자 제공 매개변수에 대한 불충분한 이스케이프 처리와 기존 SQL 쿼리에 대한 충분한 준비 부족으로 인해 발생합니다. 값이 ORDER BY 절에 직접 연결되며, esc_sql() 함수는 인용된 문자열 리터럴을 벗어나기 위해 필요한 문자만 중화하므로 보호 기능이 없습니다. 이로써 'edit_stores' 권한(상점 편집 기능) 이상의 vendor 레벨 접근 권한을 가진 인증된 공격자가 기존 쿼리에 추가 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.