CVE-2026-2413 in Ally Plugin
요약
\~에 의해 VulDB • 2026. 05. 18.
WordPress용 웹 접근성 및 사용성 플러그인인 The Ally는 4.0.3 버전을 포함하여 모든 버전에서 URL 경로를 통해 SQL Injection 취약점이 존재합니다. 이는 `get_global_remediations()` 메서드에서 사용자 제공 URL 파라미터에 대한 불충분한 이스케이프 처리로 인해 발생하며, 해당 파라미터가 SQL JOIN 절에 적절한 SQL 컨텍스트에 대한 sanitization 없이 직접 연결(concatenation)되기 때문입니다. URL 보안을 위해 `esc_url_raw()`가 적용되지만, 이는 단일 따옴표나 괄호와 같은 SQL 메타문자(injection)를 방지하지 못합니다. 이로 인해 인증되지 않은 공격자가 기존 쿼리에 추가 SQL 쿼리를 삽입하여 시간 기반 블라인드 SQL Injection(time-based blind SQL injection) 기법을 통해 데이터베이스에서 민감한 정보를 추출할 수 있습니다. Remediation 모듈이 활성화되어 있어야 하며, 이는 플러그인이 Elementor 계정에 연결되어 있어야 함을 의미합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.