CVE-2026-23550

🧨 CVE-2026-23550 – Modular Connector 관리자 인증 우회 origin=mo 매개변수를 통한 인증되지 않은 WordPress 관리자 로그인 Modular Connector 플러그인 ≤ 2.5.1 📖 설명 WordPress용 Modular Connector 플러그인버전 ≤ 2.5.1에는 심각한 인증 우회 취약점이 존재합니다. 인증되지 않은 공격자는 REST API 엔드포인트 /api/modular-connector/login에 JSON 매개변수 "origin":"mo"가 포함된 조작된 POST 요청을 보...

CVE-2026-63030-CVE-2026-60137

wp2shell Pre-Auth RCE PoC - CVE-2026-63030 + CVE-2026-60137 WordPress 6.9.0–6.9.4 / 7.0.0–7.0.1 認可されたペネトレーションテストおよびセキュリティ研究専用。 書面による許可なくシステムに対してこれを実行することは違法です。 作者は悪用に対して一切の責任を負いません。 概要 wp2shell は、独立して報告された2つの脆弱性を連鎖させ、未パッチの WordPress インストールに対して非認証のリモートコード実行を達成する概念実証エクスプロイトです。 CVE| コンポーネント| クラス| 認証...

CVE-2026-63030

LANGZ — wp2shell Exploit Tool Author: LANGZ CVE: CVE-2026-63030 Chained with CVE-2026-60137 Severity: Critical CVSS 9.8 Type: Pre-Authentication Remote Code Execution RCE ⚠️ 免責事項 このツールは教育目的および許可されたセキュリティテスト専用 として提供されています。 このツールを使用することにより、以下に同意したものとみなされます： 自身が所有するシステム、またはテストに対する明示的な書面による許可...

CVE-2025-14855-POC

CVE-2025-14855: SureForms WordPress 플러그인 저장형 XSS 개념 증명 대상: WordPress 플러그인 "SureForms" 플러그인 WordPress: https://wordpress.org/plugins/sureforms/ 취약점 유형: 저장형 교차 사이트 스크립팅 XSS CVE: CVE-2025-14855 참조:...

CVE-2026-13001

CVE-2026-13001 — Podlove Podcast Publisher 인증되지 않은 파일 업로드 RCE isimage와 extractfileextension의 불일치 → PHP 폴리글롯 업로드 개요 CVE-2026-13001 은 Podlove Podcast Publisher WordPress 플러그인 ≤ 4.5.1 버전에서 발생하는 인증되지 않은 임의 파일 업로드 취약점으로, 심각도CVSS 9.8가 치명적 입니다. 이 취약점은 두 내부 함수가 파일 확장자를 다르게 파싱하는 불일치를 악용합니다: isimage는...

WordPress Modern Events Calendar Lite <5.16.5 - Authenticated Arbitrary File Upload

WordPress Modern Events Calendar Lite plugin before 5.16.5 is susceptible to authenticated arbitrary file upload. The plugin does not properly check the imported file, allowing PHP files to be uploaded and/or executed by an administrator or other high-privilege user using the text/csv content-typ...

CVE-2022-3689

CVE-2022-3689 분석 보고서 개요 CVE-2022-3689는 WordPress의 특정 플러그인에서 발견된 SQL 인젝션 취약점으로, 공격자가 웹 애플리케이션의 보안 취약점을 이용하여 데이터베이스에 악의적인 SQL 코드를 삽입할 수 있습니다. 이로 인해 데이터 유출, 데이터 변조 등의 심각한 보안 문제가 발생할 수 있습니다. 참고 자료 이글루코퍼레이션 보안 보고서...

CVE-2025-25163

CVE-2025-25163 플러그인 A/B 이미지 최적화 = 3.3 - 인증된 구독자+ 임의 파일 다운로드 설명 WordPress용 플러그인 A/B 이미지 최적화 플러그인은 3.3까지의 모든 버전에서 디렉터리 트래버설 취약점에 노출됩니다. 이로 인해 구독자 수준 이상의 접근 권한을 가진 인증된 공격자가 서버에 있는 임의 파일의 내용을 읽을 수 있게 되며, 해당 파일에는 민감한 정보가 포함될 수 있습니다. 세부 정보 유형 : 플러그인 슬러그 : images-optimizer 영향받는 버전 : 3.3 CVSS 점수 : 6.5 CV...

CVE-2025-5961

🚨 마이그레이션, 백업, 스테이징 – WPvivid Backup & Migration 📈 이 취약점은700,000개 이상의 설치 수 를 가진 플러그인에 영향을 미칩니다 📝 CVE 세부 정보 CVE: CVE-2025-5961 CVSS: 7.2 높음 게시일: 2025년 7월 3일 🔍 설명 WordPress용 Migration, Backup, Staging – WPvivid Backup & Migration 플러그인은 0.9.116을 포함한 모든 버전에서 wpvividuploadimportfiles 함수의 파일 형식 검증 누락으로 ...

CVE-2026-7465-Lab

CVE-2026-7465 - Spectra Gutenberg Blocks 로컬 랩 WordPress 플러그인 Spectra Gutenberg Blocksultimate-addons-for-gutenberg의 CVE-2026-7465를 분석하고 재현하기 위한 로컬 Docker 랩입니다. 이 랩은 다음을 비교합니다: vuln: Spectra 2.19.25 patched: Spectra 2.19.26 이 증명PoC은 의도적으로 최소 피해least-harm 방식입니다. 셸 명령을 실행하거나, 파일을 업로드하거나, 사용자를 생성하거나,...

CVE-2025-4524

CVE-2025-4524 WordPress Madara 테마 2.2.2.1 - 로컬 파일 포함...

CVE-2025-0924-different

CVE-2025-0924 분석 중 나온 다른 취약점 01. Stored XSS와 WordPress,WP Activity Log 개요 1 Stored XSS와 WordPress,WP Activity Log 개요 Stored XSS는 악성 스크립트가 서버에 저장되어, 이후 다른 사용자들이 해당 페이지를 열 때 자동으로 실행되는 취약점이며 CWE-79Improper Neutralization of Input During Web Page Generation 'Cross-site Scripting'로 지정 되어있는 공격의 일종 입니다...

CVE-2024-8856

CVE-2024-8856 이 도구는 WP Time Capsule 플러그인의 CVE-2024-8856 관련 취약점을 검사하기 위해 WordPress 웹사이트를 스캔합니다. "1.22.22" 미만의 플러그인 버전을 취약한 것으로 식별하고 결과를 "vuln.txt"에 기록합니다. 간단하고 효율적이며, 보안 연구자와 관리자가 위험을 신속하게 탐지하고 해결하는 데 도움을 줍니다. 기능 CVE-2024-8856과 관련된 WP Time Capsule 플러그인의 취약점을 탐지하기 위해 URL 목록을 스캔합니다. 플러그인 버전이 1.22.22...

CVE-2026-10795

CVE-2026-10795 CVE-2026-10795 – UpdraftPlus 인증 우회 CVE-2026-10795 – UpdraftPlus 인증 우회 PoC ⚠️ 면책 조항: 이 저장소는 교육 목적으로만 제공됩니다. 본인 소유이거나 명시적 테스트 권한이 있는 시스템에서만 사용하십시오. 저자는 오용에 대해 책임을 지지 않습니다. 📋 개요 필드| 세부 정보 ---|--- 플러그인| UpdraftPlus: WP 백업 및 마이그레이션 영향 받는 버전| ≤ 1.26.4 패치된 버전| 1.26.5 CVSS 점수| 8.1 높음 취약점 유형...

CVE-2025-39459

CVE-2025-39459 Real Estate 7 = 3.5.2 - 未認証の権限昇格 🧨 CVE-2025-39459 — Real Estate 7 = 3.5.2 未認証の権限昇格 📌 概要 このリポジトリには、Real Estate 7 WordPress テーマのバージョン = 3.5.2 に影響する CVE-2025-39459 の Python 製 proof-of-concept ツールが含まれています。 この脆弱性により、未認証の攻撃者...

wp2shell

wp2shell WordPress 6.9.0–6.9.4 및 7.0.0–7.0.1에 대한 인증 전 원격 코드 실행입니다. CVE-2026-63030배치 경로 혼동 SQLi을 CVE-2026-60137커스터마이저 체인지셋 재진입과 연결하여 인증 없는 관리자 생성 및 OS 명령 실행을 달성합니다. 비밀번호 크래킹이 필요 없습니다. 이 발견은 hashkitten의 공로입니다. 전체 SLCyber 기술 분석은 여기에서 읽을 수 있습니다. 취약점 WordPress의 REST API 배치 프로세서servebatchrequestv1에는...

PT-2026-104730

The File Uploads Addon for WooCommerce WordPress plugin before 1.7.6 does not verify that the person requesting a customer-uploaded file is the customer who uploaded it, allowing unauthenticated attackers who know or guess a file's name to download other customers' uploaded files...

PT-2026-104731

Name of the Vulnerable Software and Affected Versions UPI QR Code Payment Gateway WordPress plugin versions prior to 1.4.4 Description The plugin fails to verify if a payment-confirmation request is legitimately associated with the order and customer it intends to confirm. This allows...

PT-2026-106097

Authorization Bypass Through User-Controlled Key vulnerability in Themeisle AI Chatbot for WordPress – Hyve Lite hyve-lite allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects AI Chatbot for WordPress – Hyve Lite: from n/a through 2.0.2...

PT-2026-104729

The File Uploads Addon for WooCommerce WordPress plugin through 1.7.6 stores customer-uploaded files in a publicly web-accessible uploads directory and the access restriction it generates is ineffective, so an unauthenticated attacker who knows or guesses a file's name can retrieve...