CVE-2026-6741

CVE-2026-6741 CVE-2026-6741은 LatePoint – Calendar Booking Plugin에서 발생하는 CVSS 8.8High 등급의 인증된Agent+ 권한 상승 취약점입니다. CVE-2026-6741 — LatePoint 권한 상승 스캐너 플러그인: LatePoint – Calendar Booking Plugin for Appointments and Events latepoint CVE ID: CVE-2026-6741 CVSS 점수: 8.8 High CVSS 벡터:...

CVE-2026-86786

The Slider Pro WordPress plugin through 1.0.0 does not perform any capability or authorisation check on one of its AJAX actions, allowing unauthenticated users to retrieve the title, excerpt and permalink of non-public posts, including drafts, pending, scheduled, private and trashed posts, as wel...

CVE-2026-23550

██████╗██╗ ██╗███████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ███████╗ ███████╗ ██████╗ ██╔════╝██║ ██║██╔════╝ ╚════██╗██╔═████╗╚════██╗██╔════╝ ╚════██╗╚════██╗██╔════╝ ██╔════╝██╔═████╗ ██║ ██║ ██║█████╗ █████╔╝██║██╔██║ █████╔╝███████╗ █████╔╝ █████╔╝███████╗ ███████╗██║██╔██║ ██║ ╚█...

CVE-2026-11349

Modern Events Calendar Lite getresults로 실행하며 $wpdb-prepare는 사용하지 않습니다. 엔트리 포인트가 wpajaxnopriv에 등록되어 있으므로 인증, 계정, 논스 또는 사용자 상호작용이 필요하지 않습니다. 인증되지 않은 원...

CVE-2026-5076

CVE-2026-5076 - ARMember 비밀번호 재설정 취약점 취약점 정보 항목| 세부 정보 ---|--- CVE ID| CVE-2026-5076 플러그인| ARMember – Membership Plugin & Content Restriction 영향 받는 버전| Premium = 7.3.1 패치된 버전| 7.3.2 CVSS 점수| 9.8 심각 CWE| CWE-640: Weak Password Recovery 유형| 안전하지 않은 비밀번호 재설정 메커니즘 → 평문 키 저장 공격 벡터| 네트워크 / 원격 / 인증되지 않음...

CVE-2026-8380

CVE-2026-8380 CVE-2026-8380 — Frontend File Manager = 23.6 임의 게시물 삭제 개요 WordPress 플러그인 Frontend File Managernmedia-user-file-uploader 버전 = 23.6에서 심각한 권한 검증 결함이 발견되었습니다. 이 취약점으로 인해 낮은 권한을 가진 인증 사용자가 AJAX 삭제 엔드포인트의 부적절한 권한 검증으로 인해 임의의 WordPress 게시물, 페이지, 첨부 파일 및 사용자 정의 게시물 유형을 영구적으로 삭제할 수 있습니다. 플러그...

CVE-2026-94278 File Media Renamer <= 1.3 - Author+ Arbitrary File Rename via save-attachment-compat

The File Media Renamer WordPress plugin through 1.3 does not verify that the requesting user is authorised to modify a given media attachment, allowing any user with file-upload privileges to rename attachments belonging to other users, including administrators, and to corrupt unrelated stored si...

CVE-2026-94271 Deema Payment Gateway <= 1.1.2 - Unauthenticated Payment Confirmation Forgery via Unverified Success Return

The Deema Payment Gateway WordPress plugin through 1.1.2 does not verify the payment with the payment provider when handling the return from the hosted checkout, and does not check the payment status or amount, allowing unauthenticated users to have orders marked as paid without any payment being...

CVE-2026-94299

The elegro Crypto Payment WordPress plugin versions through 1.0.1 is vulnerable to an unauthenticated arbitrary order status change via IPN callback. The root cause is a failure to require a shared secret for validating incoming payment notification requests. If the secret remains at its default ...

CVE-2025-32583

🚨 CVE-2025-32583 — WordPress PDF 2 Post RCE 익스플로잇 치명적 취약점 CVE-ID: CVE-2025-32583 심각도: 9.9 치명적 CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H 📖 설명 PDF 2 Post WordPress 플러그인termel 개발의 취약점으로 인해 코드 생성의 부적절한 제어Improper Control of Generation of Code 로 인한 원격 코드 포함RCE 이 가능합니다. 영향받는 버전: = 2.4.0 이...

CVE-2026-10580

WordPress - Hippoo Mobile App for WooCommerce = 1.9.4 - 인증 우회를 통한 관리자 계정 탈취 개요 이 도구는 CVE-2026-10580 에 대한 개념 증명 익스플로잇입니다. 이 취약점은 Hippoo Mobile App for WooCommerce WordPress 플러그인버전 = 1.9.4에 영향을 미치는 인증 우회 취약점입니다. 이 취약점은 인증되지 않은 공격자가 관리자를 포함한 모든 사용자의 비밀번호를 재설정하여 사이트 전체를 장악할 수 있게 합니다. ⚠️ 중요: 이 도구는 공인된...

CVE-2025-7847-POC

CVE-2025-7847 Wordpress 플러그인 인증된 구독자 임의 파일 업로드 POC Wordpress 플러그인 AI Engine 2.9.3 - 2.9.4 개념 증명 참고로 이 취약점은 “Public API” 옵션이 활성화되어 있고기본적으로 비활성화됨, Bearer Token이 구성되어 있지 않으며, API를 보호하기 위한 사용자 지정 인증이 추가되어 있지 않은 경우에만 악용될 수 있습니다. 자동화 버전 python3 exploit-auto.py --url "http://target.com" --username "Admi...

CVE-2025-4334

🔓 Simple User Registration = 6.3 - 인증되지 않은 권한 상승 📄 설명 WordPress용 Simple User Registration 플러그인은 6.3 을 포함한 모든 버전에서 권한 상승 취약점에 노출되어 있습니다. 이는 등록 중에 제공될 수 있는 사용자 메타 값에 대한 제한이 충분하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자 가 관리자 로 등록할 수 있습니다. 🛡️ 취약점 세부 정보 속성| 값 ---|--- 유형| 부적절한 권한 관리 CVE| CVE-2025-4334 CVSS 점수| 9.8...

CVE-2022-1329

WP Elementor 3.6.0/1/2 원격 코드 실행 Google Dork: none Date: April 16 2022 Exploit Author: AkuCyberSec https://github.com/AkuCyberSec Vendor Homepage: https://elementor.com/ Software Link: https://wordpress.org/plugins/elementor/advanced/ scroll down to select the version Version: 3.6.0, 3.6.1, 3.62...

wordpress-jetpack-broken-access-control-exploit

wordpress-jetpack-broken-access-control-exploit 이 프로그램은 Jetpack 13.9.1의 끊어진 접근 제어 취약점CVE-2024-9926을 악용하는 Python3 프로그램입니다. 면책 조항 이 도구는 보안 엔지니어와 앱시큐리티 담당자가 보안 평가를 수행할 수 있도록 제작되었습니다. 이 도구를 책임감 있게 사용하시기 바랍니다. 누구든 이 애플리케이션을 사용하는 방식에 대해 저는 책임을 지지 않습니다. 이 도구를 사용하여 발생한 손해나 저지른 범죄에 대해서도 저는 책임을 지지 않습니다. 취약...

CVE-2026-14894

CVE-2026-14894 — Super Forms ≤ 6.3.313 개요 인증되지 않은 임의 파일 업로드 → 원격 코드 실행 이 WordPress 플러그인 Super Forms 버전 ≤ 6.3.313 에 존재합니다. 취약점은 AJAX 핸들러 supersubmitform에 있으며, 이 핸들러는 datauristring 필드를 통해 파일 업로드를 처리할 때 디스크에 쓰기 전에 파일 확장자나 MIME 타입을 검증하지 않습니다. 인증되지 않은 공격자는 PHP 웹쉘을 업로드하여 대상 서버에서 완전한 원격 코드 실행을 달성할 수 있습니...

CVE-2026-15282

CVE-2026-15282 — Instant Appointment 대규모 RCE 익스플로잇 인증 없이 filegetcontents + fileputcontents → PHP 웹쉘 개요 CVE-2026-15282 는 Instant Appointment WordPress 플러그인≤ 1.2의 치명적인CVSS 9.8 인증되지 않은 임의 파일 업로드 취약점입니다. addservicefront AJAX 액션은 인증되지 않은 접근을 위해 wpajaxnopriv를 통해 등록됩니다. 핸들러는 사용자가 제공한 imageurl과 imagename...

CVE-2026-56011-Lab

CVE-2026-56011 - MapPress Maps for WordPress 무인증 XSS iframe 지도 렌더링 요약 이 저장소는 MapPress Maps for WordPress에 영향을 미치는 무인증 크로스사이트 스크립팅Cross-Site Scripting 취약점인 CVE-2026-56011을 재현하고 검증하기 위한 로컬 Docker 랩입니다. MapPress Maps for WordPress는 WordPress 페이지와 게시물 내부에 지도를 렌더링하는 데 사용되는 WordPress 플러그인입니다. 취약한 동작은...

CVE-2026-9290

CVE-2026-9290 — WP User Manager LFI to RCE 익스플로잇 'tab' 매개변수를 통한 인증 전 경로 탐색 → 로컬 파일 포함 개요 CVE-2026-9290 는 WP User Manager – User Profile Builder & Membership WordPress 플러그인 ≤ 2.9.17에서 발견된 높은 심각도CVSS 7.5의 인증되지 않은 로컬 파일 포함 취약점입니다. wpumgetactiveprofiletab 함수는 tab 쿼리 매개변수를 화이트리스트 검증 없이 Gamajo 템플릿 로더에 ...

CVE-2026-81780-Hash-Form

CVE-2026-81780-Hash-Form CVE-2026-81780 — Hash Form RCE 취약점 WordPress Hash Form 플러그인≤ 1.4.2의 인증되지 않은 파일 업로드 취약점입니다. 이 플러그인은 적절한 인증 또는 파일 유형 검증 없이 임의 파일 업로드를 허용하여 원격 코드 실행RCE으로 이어집니다. 익스플로잇 체인 단계 동작 1 공격자는 readme.txt를 통해 Hash Form 플러그인을 확인합니다 2 양식 미리보기hashformpreview를 통해 ajaxnounce를 추출합니다 3 PHP...