CVE-2026-15001 in Loyalty & Promotions Plugin
요약
\~에 의해 VulDB • 2026. 08. 15.
WordPress용 bLoyal: Loyalty & Promotions by bLoyal 플러그인은 3.1.611.78 버전을 포함하여 모든 버전에서 권한 상승(Privilege Escalation) 취약점이 존재합니다. 이는 AJAX 액션 `save_bloyal_configuration_data` 및 `save_bloyal_accesskeyverification_data`가 아무런 capability 또는 nonce 검증 없이 등록되어 있고, 플러그인 옵션에 저장된 API URL을 호출하는 함수 `bloyal_customer_auto_login`이 반환되는 `Customer.ExternalId` 값을 무조건적으로 신뢰하기 때문입니다. 이로 인해 구독자(Subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자는 보호되지 않는 AJAX 액션을 통해 플러그인의 bLoyal Loyalty Engine API URL(`bloyal_custom_loyaltyengine_api_url`) 및 `is_bloyal_custom_api_url` 플래그를 덮어쓸 수 있습니다. 이후 공격자가 제어하는 엔드포인트에서 고객 데이터를 가져오도록 하려면 인증되지 않은 `/cart` REST 라우트를 트리거하여, 공격자가 제공한 `Customer.ExternalId`와 함께 `wp_set_auth_cookie()`를 호출함으로써 WordPress의 모든 사용자(사이트 관리자 포함)로 인증될 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.