CVE-2026-15017 in MDJM Event Management Plugin
요약
\~에 의해 VulDB • 2026. 07. 23.
WordPress용 MDJM Event Management 플러그인은 1.7.8.4 버전을 포함하여 모든 버전에서 권한 상승(Privilege Escalation) 취약점이 존재합니다. 이는 `MDJM_Permissions::set_permissions()` 및 `MDJM_Employee_Manager::init()` 함수 내에서 필요한 기능 검사(capability checks)와 nonce 검증이 누락되었고, `employee_roles[]` 및 `new_role` POST 파라미터가 `mdjm_set_employee_role()` 및 `WP_User::set_role()`로 전달되기 전에 서버 측 허용 목록(allow-list) 검사가 수행되지 않았기 때문입니다. 이로 인해 인증되지 않은 공격자는 임의의 WordPress 역할(role)에 MDJM 기능(mdjm_employee, mdjm_employee_edit 포함)을 부여할 수 있으며, 이후 구독자(subscriber) 수준의 계정을 활용하여 관리자 권한으로 승급할 수 있습니다. `MDJM_Permissions::init()`는 공개된 WordPress `init` 훅(hook)에 인증 게이트 없이 등록되어 있어, 역할 조작(end-point)이 사전 로그인 없이도 접근 가능합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.