CVE-2026-16774 in WPBot Plugin
요약
\~에 의해 VulDB • 2026. 07. 29.
WordPress용 Chatbot 플러그인 버전 8.5.9 이하에서는 wpcs_send_email() AJAX 핸들러를 통해 누락된 권한 확인(Missing Authorization) 취약점이 존재합니다. 이는 wpcs_send_email() 함수가 wp_ajax_wpcs_send_email 및 wp_ajax_nopriv_wpcs_send_email에 모두 등록되어 있으며, nonce 검증, capability 검사 또는 속도 제한(rate limiting) 없이 공격자가 제어할 수 있는 수신자, 제목 및 본문 내용을 직접 wp_mail()으로 전달하기 때문입니다. 이로 인해 인증되지 않은 공격자는 사이트 도메인에서 임의의 수신자에게 임의의 이메일을 보낼 수 있게 되며, 이는 스팸, 피싱 및 남용 행위를 가능하게 하고 결과적으로 사이트의 IP/도메인이 블랙리스트에 등재되는 원인이 될 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.