CVE-2026-6627 in WPFormify Plugin
요약
\~에 의해 VulDB • 2026. 08. 05.
WordPress용 WPFormify – Stripe Payments with Form and Checkout 플러그인은 1.1.1 버전을 포함하여 모든 버전에서 Stripe 결제 자격 증명에 대한 무단 수정 및 삭제 취약점이 있습니다. 이는 `admin_init` 훅(hook)에 연결된 `wpf_stripe_callback_success()` 및 `wpf_stripe_disconnect()` 함수에서 권한 확인(capability checks)과 nonce 검증이 누락되었기 때문입니다. `admin-init` 훅은 인증 없이 접근 가능한 `admin-post.php`에서 실행됩니다. 이로 인해 비인증 공격자가 사이트의 Stripe API 자격 증명을 공격자가 제어하는 값으로 덮어쓰거나(결제를 공격자의 Stripe 계정으로 리디렉션) 저장된 자격 증명을 삭제하여 Stripe 통합을 완전히 해제할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.