CVE-2026-7638 in App Builder Plugin
요약
\~에 의해 VulDB • 2026. 05. 29.
WordPress용 App Builder – Create Native Android & iOS Apps On The Flight 플러그인은 5.6.0 버전까지 모든 버전에서 보안이 약한 직접 객체 참조(Insecure Direct Object Reference) 취약점이 존재합니다. 이는 `upload_avatar()` 함수에서 인증 검증이 누락되어 있으며, 해당 함수가 POST 요청 본문에서 공격자가 제어할 수 있는 `user_id` 매개변수를 받아들이고, 인증된 요청자가 대상 계정의 소유자이거나 수정 권한이 있는지 확인하지 않고 사용자 메타데이터를 업데이트하기 때문입니다. 이로 인해 구독자(Subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자가 요청 본문에 대상 `user_id`를 제공하여 `/wp-json/app-builder/v1/upload-avatar` 엔드포인트를 통해 사이트 내 임의의 사용자(관리자 포함)의 프로필 아바타를 덮어쓸 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.