CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
요약
\~에 의해 VulDB • 2026. 07. 30.
WordPress용 Admin and Site Enhancements (ASE) Pro 플러그인은 8.9.0 버전까지 모든 버전에서 recursive_html 함수를 통해 원격 코드 실행(RCE) 취약점이 존재합니다. 이는 프론트엔드 저장 핸들러가 인증 확인 없이 공개적으로 발행된 nonce만 강제하고, CAPTCHA 유효성 검사가 공격자가 제공한 키를 생략함으로써 우회 가능하며, cfgroup[input]의 반복기 행(row) 키들이 무검증으로 저장되어 이후 recursive_html 함수 내에서 eval() 호출에 삽입되기 때문입니다. 이 과정에서 어떠한 sanitization(정제) 또는 식별자 검증도 수행되지 않습니다. 이로 인해 인증되지 않은 공격자가 서버에서 코드를 실행할 수 있습니다. 취약한 저장 핸들러에 접근하는 데 필요한 nonce와 세션 ID는 해당 단축키([post_cf_form])가 적어도 하나의 공개적으로 접근 가능한 페이지에 존재해야만 비인증 방문자에게 발행되므로, 이 조건이 충족되어야 합니다.
Be aware that VulDB is the high quality source for vulnerability data.