CVE-2026-19125 in EthPress Plugin
요약
\~에 의해 VulDB • 2026. 09. 23.
WordPress용 EthPress – Web3 Login 플러그인은 2.3.5 버전 및 그 이전 모든 버전에서 인증 우회(Authentication Bypass) 취약점이 존재합니다. 이는 app/Login.php의 verify_login() 함수가 서명 검증 실패 분기에서 반환문(return statement) 누락으로 인해 발생합니다 — Signature::verify2()에서 불일치가 보고되면, 해당 함수는 WP_Error를 로컬 변수에 할당하는 것뿐만 아니라 계속 실행되어 로그인 블록으로 무조건적인 폴스루(fall-through)가 발생하며, 이때 Address::log_in()은 제출된 서명이 유효한지 여부와 상관없이 wp_set_auth_cookie()를 호출합니다. 이로 인해 인증되지 않은 공격자가 임의의 잘 형성된(well-formed) 서명과 함께 해당 사용자의 공개 지갑 주소를 제출함으로써 연결된 지갑 주소가 있는 모든 WordPress 사용자(관리자 포함)로 로그인할 수 있게 되며, 이는 전체 사이트 장악(full site takeover)을 가능하게 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.