CVE-2026-19598 in Pods Plugin
요약
\~에 의해 VulDB • 2026. 08. 15.
WordPress용 Pods – Custom Content Types and Fields 플러그인은 최대 버전 3.3.9(포함)까지 모든 버전에서 권한 상승(Authorization Bypass를 통한 Privilege Escalation) 취약점이 존재합니다. 이 취약점은 pods_admin AJAX 라우터가 메서드 허용 목록(method allowlist), nonce 검증, 로그인 강제 적용 및 기능(gate) 검사 등 모든 접근 검사를 pods_error() 함수로 전달하는데, JSON meta-box-loader 호환성 경로에서 해당 함수는 실패 시 PHP 오류 로그에만 기록하고 요청을 종료하지 않고 false를 반환하므로 모든 보안 장치가 무력화됩니다. 이로 인해 인증되지 않은 공격자가 Administrator 권한으로 승급하거나 사이트 소유자를 포함한 임의 사용자 계정의 비밀번호를 덮어쓸 수 있어 전체 사이트 탈취가 가능해지거나, 다른 관리자 작업을 수행할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.