CVE-2026-40732 - sosig.site

7.1

CVSS Score

심각도 HIGH

발행일 2026-06-15

최종 수정 2026-10-25 23:10

AI 분석 ✅ 완료

Notification for Telegram 플러그인 3.5 이하 버전에서 인증되지 않은 사용자가 악성 스크립트를 삽입할 수 있는 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 이를 통해 방문자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.

로그인하지 않은 사람도 워드프레스 사이트의 특정 입력 기능을 악용해 해로운 코드를 심을 수 있습니다. 이 코드는 사이트를 방문한 다른 사람의 브라우저에서 실행되어 정보가 탈취될 수 있습니다.

Unauthenticated Cross Site Scripting (XSS) in Notification for Telegram <= 3.5 versions.

WordPress용 Notification for Telegram 플러그인 3.5 이하 버전

인증 없이 조작된 요청을 플러그인 엔드포인트로 전송하여 악성 스크립트를 주입하고 피해자가 해당 페이지를 방문하도록 유도

Notification for Telegram 플러그인을 3.5 초과(패치된) 최신 버전으로 업데이트하거나, 취약 버전이 확인될 때까지 플러그인을 비활성화

출력된 버전 번호가 3.5 이하이면 취약하므로 업데이트가 필요하고, 3.5보다 높으면 패치된 버전입니다. 출력이 없으면 플러그인 경로를 확인하거나 플러그인이 설치되지 않은 것입니다.

Shell / Script

grep -rh "Version:" wp-content/plugins/notification-for-telegram/*.php 2>/dev/null | head -1

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L