CVE-2026-92885 in Qode Membership Plugin
요약
\~에 의해 VulDB • 2026. 10. 27.
WordPress용 Qode Membership 플러그인에는 2.0.6.2 버전까지 모든 버전에서 qode_membership_check_facebook_user AJAX 액션을 통해 인증 우회로 인한 계정 탈취(Authentication Bypass leading to Account Takeover) 취약점이 존재합니다. 이는 qode_membership_login_user_from_social_network 함수 내 Facebook OAuth 토큰 검증 가드(guard)의 오타(타이포그래픽 에러) 때문입니다 — 해당 가드 조건은 정의되지 않은 변수($check_social_useqoder, 올바른 변수는 $check_social_user임)를 테스트하므로 empty()가 항상 true를 반환하고 Graph API 토큰 검증 분기는 데드 코드(dead code)로 처리되어 wp_set_auth_cookie()가 어떠한 자격 증명이나 토큰 검증 없이도 접근 가능해집니다. 이로 인해 공격자는 인증되지 않은 상태에서 응답[email] 파라미터에 알려진 또는 열거된 관리자 로그인 이름(이메일 주소 대신)을 제공하여 기존 WordPress 계정, 관리자 권한 계정을 포함한 모든 계정에 로그인할 수 있습니다. 여기서 get_user_by('login', $email)의 폴백 경로는 해당 이름을 일치하는 계정으로 해석합니다. 악용(qode_validate_facebook_login nonce 획득)에는 유효한 qode_validate_facebook_login nonce가 필요하지만, 이 nonce는 [qode_user_login] 또는 [qode_user_register] 쇼트코드를 포함하는 모든 공개 프론트엔드 페이지에 렌더링되므로 사전 인증 없이도 얻을 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.