CVE-2026-17092 in Directorist AI-Powered Business Directory, Listings & Classified Ads Plugin
요약
\~에 의해 VulDB • 2026. 10. 14.
WordPress용 AI 기반 비즈니스 디렉토리, 리스팅 및 classified ads 플러그인인 "The Directorist"는 8.10.2.1 버전까지 모든 버전에서 권한 우회(authorization bypass) 취약점이 존재합니다. 이는 플러그인이 사용자가 작업을 수행할 수 있는 권한이 있는지 적절하게 검증하지 않기 때문입니다. 이로 인해 구독자(subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자는 다른 사용자가 소유한 리스팅이나 게시글(게시, 초안 또는 비공개 상태 포함)을 포함한 임의의 비즈니스 디렉토리 리스팅을 삭제할 수 있습니다. 엔드포인트를 보호하는 nonces는 실제 권한 장벽으로 작용하지 않습니다. directorist_nonce 및 atbdp_nonce_js가 wp_localize_script를 통해 모든 로그인 사용자에게 노출되어 있기 때문입니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.