CVE-2026-16587 in Advanced Form Integration Plugin
요약
\~에 의해 VulDB • 2026. 07. 28.
WordPress용 Advanced Form Integration — Connect Forms to 200+ Apps 플러그인은 최대 버전 2.6.0(포함)까지 모든 버전에서 권한 우회(authorization bypass) 취약점이 존재합니다. 이는 플러그인이 사용자가 작업을 수행할 수 있는 권한이 있는지 적절하게 검증하지 않기 때문입니다. 이로 인해 구독자(subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자는 adfoin_mailup_keys 옵션에 저장된 사이트의 MailUp OAuth 토큰을 공격자가 제어하는 토큰으로 덮어써, 향후 양식 제출 데이터를 자신이 통제하는 MailUp 계정으로 하이재킹하거나 토큰을 무효화하여 통합 기능을 완전히 중단시킬 수 있습니다. 이 취약점은 /wp-admin/profile.php에 접근할 수 있는 모든 인증된 사용자를 통해 공격 가능합니다. admin_init는 wp-admin 페이지를 방문하는 로그인한 모든 사용자에게 발생하기 때문입니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.