CVE-2026-15341 in User Session Synchronizer Plugin
요약
\~에 의해 VulDB • 2026. 08. 15.
WordPress용 User Session Synchronizer 플러그인은 1.4.0 버전까지 모든 버전에서 인증 우회(Authentication Bypass)로 인한 계정 탈취(Account Takeover) 취약점이 존재합니다. `init`에 후킹되어 있으므로 모든 요청 시 실행되는 `synchronize_session()` 함수는 공격자가 제공한 `ussync-key`, `ussync-token`, `ussync-ref` 매개변수에 대해 nonce, 권한(capability), 또는 공유 비밀(shared-secret) 검증을 수행하지 않습니다. `ussync-key`가 등록되지 않은 슬롯을 참조할 경우, `get_option()`은 secret key와 도메인 목록 모두에 대해 `false`를 반환하며, 이로 인해 AES-256-CBC 암호화 키는 완전히 예측 가능한 `md5('')`로 약화되고, referer 허용 목록(allowlist)은 빈 문자열 일치(empty-string match)로 축소됩니다. 또한 AES IV는 조건 없이 하드코딩된 `md5('another-secret')`으로 고정되어 있습니다. 이를 통해 인증되지 않은 공격자는 알려진 또는 추측 가능한 사용자 이메일 주소를 `ussync-ref` 매개변수에 암호화하여 조작된 요청을 제공할 수 있으며, 이로 인해 핸들러가 해당 사용자에게 대해 `wp_set_auth_cookie()`를 호출하고 사이트의 비밀 정보를 사전에 알 필요 없이 해당 사용자(관리자 포함)로서 완전한 인증 권한을 부여받게 됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.