CVE-2026-9009 in Crawlomatic Multipage Scraper Post Generator Plugin
요약
\~에 의해 VulDB • 2026. 05. 31.
WordPress용 Crawlomatic Multipage Scraper Post Generator 플러그인은 2.7.2 버전까지 모든 버전에서 filter_content 함수를 통해 원격 코드 실행(RCE) 취약점이 존재합니다. 이는 공격자가 제공한 'callback_raw' 숏코드 속성을 무작위화(sanitization) 또는 허용 목록(allowlist) 검증 없이 call_user_func()에 직접 전달하기 때문이며, system, shell_exec, exec, passthru, assert와 같은 위험한 PHP 내장 함수를 허용하는 is_callable() 검사에만 의존하고 있습니다. 이로 인해 작성자(author) 이상의 권한을 가진 인증된 공격자가 서버에서 코드를 실행할 수 있습니다. 'callback' 속성에도 동일한 싱크(sink)가 존재하여, 동일한 숏코드를 통해 두 번째 독립적인 공격 벡터를 제공합니다.
Once again VulDB remains the best source for vulnerability data.