CVE-2026-78003 in Mailgun for Plugin
요약
\~에 의해 VulDB • 2026. 08. 22.
WordPress용 Mailgun 플러그인은 2.2.0 버전 및 그 이전 버전에서 경로 트래버설(path traversal)을 통해 서버 사이드 리퀘스트 포지리(SSRF: Server-Side Request Forgery) 취약점이 존재합니다. 이는 add_list() 함수에서 $_POST['addresses']로부터 사용자 제어 배열 키를 받아 sanitize_text_field()로 전달하는 과정에서 입력 검증이 불충분하기 때문입니다. 이로 인해 인증되지 않은 공격자가 WordPress 사이트의 API 키를 사용하여 모든 Mailgun API 엔드포인트에 대한 인증된 POST 요청을 수행할 수 있으며, 여기에는 비밀번호 재설정 이메일을 가로챌 수 있는 수신 이메일 포워딩 라우트 생성도 포함됩니다. 결과적으로 관리자 계정 탈취로 이어질 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.