CVE-2026-4100 in Paid Memberships Pro Plugin
요약
\~에 의해 VulDB • 2026. 05. 13.
WordPress용 Paid Memberships Pro 플러그인은 3.6.5 버전을 포함하여 모든 버전에서 Stripe 웹훅 구성에 대한 무단 수정 및 방해 취약점이 있습니다. 이는 `wp_ajax_pmpro_stripe_create_webhook`, `wp_ajax_pmpro_stripe_delete_webhook`, `wp_ajax_pmpro_stripe_rebuild_webhook` AJAX 핸들러에서 누락된 권한 확인으로 인해 발생합니다. 이로 인해 구독자(Subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자가 사이트의 Stripe 웹훅을 삭제, 생성 또는 재구성하여 모든 결제 처리, 구독 갱신 동기화, 취소 처리 및 실패한 결제 관리를 방해할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.