CVE-2026-15827 in GutenKit Plugin
요약
\~에 의해 VulDB • 2026. 07. 24.
WordPress용 GutenKit Blocks 플러그인은 2.4.12 버전 및 그 이전 버전에서 /wp-json/gutenkit/v1/mailchimp/get/lists 및 /wp-json/gutenkit/v1/mailchimp/get/interests REST API 엔드포인트에 대한 권한 확인(capability check) 누락으로 인해 데이터의 무단 접근이 가능한 취약점이 있습니다. 두 엔드포인트 모두 permission_callback => '__return_true'로 등록되어 있으며, 해당 콜백은 gutenkit_settings_list 옵션에서 사이트가 저장한 Mailchimp API 키를 읽어들인 후 로그인, nonce 또는 권한 확인 없이 호출자에게 Mailchimp 오디언스/리스트, 병합 필드(merge-field), 관심사 카테고리(interest-category), 관심사 이름(interest-name) 및 구독자 수(subscriber-count) 메타데이터를 프록시합니다. 이로 인해 인증되지 않은 공격자가 GutenKit Mailchimp 통합을 구성한 모든 사이트에서 비공개 Mailchimp 오디언스 설정 정보를 탈취할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.