CVE-2025-2266

🚨 CVE-2025-2266 — 워드프레스 플러그인 익스플로잇 🔍 취약점 요약 워드프레스용 Checkout Mestres do WP for WooCommerce 플러그인은 8.6.5부터 8.7.5까지의 버전에서 인증되지 않은 임의 옵션 업데이트 취약점 의 영향을 받습니다. 취약한 함수 cwmpUpdateOptions는 적절한 권한 검사를 수행하지 않아 인증되지 않은 공격자 가 임의의 워드프레스 옵션을 업데이트할 수 있게 합니다. ⚠️ 위험 및 악용 공격자는 다음을 수행할 수 있습니다: 사용자 등록 활성화 기본 역할을...

DynamiApps Frontend Admin <= 3.28.20 - Unauthenticated Arbitrary Options Update

DynamiApps Frontend Admin plugin for WordPress .= 3.28.20 contains a broken access control vulnerability caused by insufficient capability checks and input validation in ActionOptions::run save handler, letting unauthenticated attackers modify critical WordPress options via crafted form data. id:...

CVE-2025-5701

CVE-2025-5701 HyperComments = 1.2.2 - 인증되지 않은 구독자+ 임의 옵션 업데이트 설명 WordPress용 HyperComments 플러그인은 1.2.2 버전까지의 모든 버전에서 hcrequesthandler 함수에 대한 기능 확인이 누락되어 데이터의 무단 수정에 취약하며, 이는 권한 상승으로 이어질 수 있습니다. 이로 인해 인증되지 않은 공격자가 WordPress 사이트에서 임의의 옵션을 업데이트할 수 있습니다. 이를 악용하여 등록 기본 역할을 관리자로 업데이트하고 사용자 등록을 활성화하여 공격자...

CVE-2024-5326-Poc

CVE-2024-5326 CVE-2024-5326 Post Grid Gutenberg Blocks 및 WordPress Blog Plugin – PostX = 4.1.2 - 임의 옵션 업데이트에 대한 인가 누락 설명 WordPress용 Post Grid Gutenberg Blocks 및 WordPress Blog Plugin – PostX 플러그인은 4.1.2를 포함한 모든 버전에서 'postxpresetscallback' 함수에 대한 권한 확인이 누락되어 데이터 무단 수정에 취약합니다. 이로 인해 Contributor기여자...

WordPress Image Hover Ultimate - Unauthenticated Settings Update

Unauthenticated Arbitrary Options Update vulnerability leading to full website compromise discovered in Image Hover Effects Ultimate versions = 9.6.1 WordPress plugin. id: CVE-2021-36888 info: name: WordPress Image Hover Ultimate - Unauthenticated Settings Update author: riteshs4hu severity:...

CVE-2023-6700

CVE-2023-6700 Cookie Information | Free GDPR Consent Solution = 2.0.22 - 인증된 구독자 이상 임의 옵션 업데이트 설명: CVE-2023-6700 WordPress용 Cookie Information | Free GDPR Consent Solution 플러그인은 버전 2.0.22 이하에서 AJAX 요청 핸들러에 기능 검사가 누락되어 임의 옵션 업데이트에 취약합니다. 이를 통해 구독자 수준 이상의 접근 권한을 가진 인증된 공격자가 사이트 옵션을 임의로 편집할 수 있으며, 이...

CVE-2024-50476

CVE-2024-50476 GRÜN spendino Spendenformular = 1.0.1 - 未認証の任意オプション更新 説明: GRÜN spendino Spendenformular – Mehr Spenden! Weniger Arbeit! WordPress プラグインは、1.0.1 までの全バージョンにおいて、ケイパビリティチェックが欠如しているため、データの不正変更に対して脆弱であり、権限昇格につながる可能性があります。このため、未認証の攻撃者が WordPress...

CVE-2025-13342

CVE-2025-13342 PoC WordPress용 DynamiApps의 Frontend Admin 플러그인은 버전 3.28.20 포함 모든 버전에서 임의의 WordPress 옵션을 무단 수정하는 데 취약합니다. 이로 인해 공격자가 사용자를 등록하고 기본 역할을 관리자로 설정할 수 있습니다. Frontend Admin을 통해 생성된 양식이 공개적으로 접근 가능한 경우로그인 필요 없음 익스플로잇이 인증되지 않은 상태로 수행될 수 있습니다. 이는 Frontend Admin 버전 3.28.18에서 테스트되었습니다. 원본 취약점...

CVE-2024-50490

CVE-2024-50490 PegaPoll = 1.0.2 - 인증되지 않은 임의 옵션 업데이트 설명: WordPress용 PegaPoll 플러그인은 1.0.2 버전까지 권한 확인이 누락되어 권한 상승으로 이어질 수 있는 데이터 무단 수정에 취약합니다. 이를 통해 인증되지 않은 공격자가 WordPress 사이트의 임의 옵션을 업데이트할 수 있습니다. 이는 관리자 등록 기본 역할을 업데이트하고 사용자 등록을 활성화하여 공격자가 취약한 사이트에 대한 관리자 사용자 액세스 권한을 얻도록 악용될 수 있습니다. Published:...

CVE-2024-54379

CVE-2024-54379 Minterpress = 1.0.5 - 인증된구독자 이상 사용자에 대한 누락된 권한 확인으로 인한 임의 옵션 업데이트 설명 WordPress용 Minterpress 플러그인은 1.0.5 이하의 모든 버전에서 함수에 대한 권한 확인capability check 누락으로 인해 데이터의 무단 수정에 취약하며, 이로 인해 권한 상승이 발생할 수 있습니다. 이 취약점으로 인해 구독자Subscriber 이상의 접근 권한을 가진 인증된 공격자가 WordPress 사이트의 임의 옵션을 업데이트할 수 있습니다. 이를...

CVE-2024-54378

CVE-2024-54378 Quietly Insights = 1.2.2 - 인증된Subscriber+ 사용자의 임의 옵션 업데이트를 허용하는 인가 누락 설명 Quietly Insights WordPress 플러그인은 1.2.2 버전을 포함한 모든 버전에서 함수에 대한 기능 검사capability check 누락으로 인해 권한 상승으로 이어질 수 있는 데이터 무단 수정에 취약합니다. 이로 인해 Subscriber 이상의 액세스 권한을 가진 인증된 공격자가 WordPress 사이트의 임의 옵션을 업데이트할 수 있습니다. 이를 활용...

CVE-2025-13342

CVE-2025-13342 Frontend Admin by DynamiApps - ----/| |/ ----| \ ||/ / / / //// |// |/ ◈ 취약점 필드| 세부 정보 ---|--- CVE ID| CVE-2025-13342 점수| 9.8 CRITICAL — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CNA| Wordfence 영향 범위| Frontend Admin by DynamiApps ≤ 3.28.20 인증| 없음 — 완전 미인증 유형| 불충분한 권한 검사 +...

CVE-2024-4898-Poc

CVE-2024-4898-Poc CVE-2024-4898 InstaWP Connect – 1-클릭 WP 스테이징 & 마이그레이션 = 0.1.0.38 - 인증되지 않은 API 설정/임의 옵션 업데이트/관리자 사용자 생성을 위한 권한 누락...

CVE-2024-5326-Poc

CVE-2024-5326 CVE-2024-5326 Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX = 4.1.2 - 인증 누락으로 인한 임의 옵션 업데이트 설명 WordPress용 Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX 플러그인은 버전 4.1.2 이하에서 'postxpresetscallback' 함수에 대한 기능 점검capability check이 누락되어 데이터의 무단 수정에 취약합니다. 이로 인...

WordPress JSON Options plugin <= 0.0.4 - Unauthenticated Arbitrary Options Update vulnerability

Unauthenticated Arbitrary Options Update vulnerability discovered by Khaled Alenazi Nxploited in WordPress Plugin JSON Options versions = 0.0.4...

CVE-2026-75860 JSON Options <= 0.0.4 - Unauthenticated Arbitrary Options Update

The JSON Options WordPress plugin through 0.0.4 does not have any capability check or nonce verification on one of its actions, which runs on every request and is available to unauthenticated users, allowing them to update arbitrary WordPress options. This can be leveraged to enable user...

CVE-2026-75860

The JSON Options WordPress plugin, affecting versions prior to 0.0.5 (through 0.0.4), is vulnerable to an unauthenticated arbitrary options update . The root cause is a lack of capability checks and nonce verification on an action that executes on every request. This flaw allows unauthenticated a...

CVE-2026-4297 Welcome Software Publishing <= 0.0.31 - Authenticated (Subscriber+) Arbitrary Options Update to Privilege Escalation via 'nc.setOption' XML-RPC Method

The Welcome Software Publishing plugin for WordPress is vulnerable to Arbitrary Options Update in all versions up to and including 0.0.31. This is due to a missing capability check in the ncsetOption function, which is exposed via the nc.setOption XML-RPC method. The function authenticates the us...

CVE-2026-4297: Missing Authorization

The Welcome Software Publishing plugin for WordPress is vulnerable to Arbitrary Options Update in all versions up to and including 0.0.31. This is due to a missing capability check in the ncsetOption function, which is exposed via the nc.setOption XML-RPC method. The function authenticates the us...

CVE-2026-6897

The CVE describes a missing capability check in Wishlist Member for WordPress (WishListMember\Features\Team_Accounts::save_settings) affecting all versions up to and including 3.30.1. This allows authenticated users with Subscriber-level access or higher to modify arbitrary plugin options, includ...