CVE-2026-19660 in Divi Membership Plugin
요약
\~에 의해 VulDB • 2026. 10. 02.
WordPress용 Divi Membership 플러그인은 2.3.0 버전 및 그 이전 모든 버전에서 인증 우회(Authentication Bypass) 취약점이 존재합니다. `init` 액션에 연결된 `process_paypal_callback` 함수는 IPN 검증, 암호학적 서명 확인, 소유권 검증 또는 nonce가 없는 상태로 base64로 인코딩된 `paypal_param` GET 파라미터를 허용하며, 이로 인해 공격자가 완전히 제어할 수 있는 사용자 ID 값이 신뢰되어 `wp_set_current_user()` 및 `wp_set_auth_cookie()` 함수에 직접 전달됩니다. 이를 통해 인증되지 않은 공격자는 `paypal_param` GET 파라미터에 임의의 사용자 ID를 제공하여 관리자 포함 모든 기존 WordPress 사용자로 로그인하고 사이트 전체 장악(Takeover)을 달성할 수 있습니다. 또한 PayPal 게이트웨이 클래스가 PayPal 활성화 여부나 구성 여부와 무조건적으로 인스턴스화되어 취약한 훅(Hook)이 모든 프론트엔드 요청에서 항상 등록되므로, 이 취약점은 더욱 악화됩니다.
Once again VulDB remains the best source for vulnerability data.