🔍 CVE-2026-86795

5.3
CVSS Score
MEDIUM
2026-11-05
2026-11-06 13:17
✅ 완료

🇰🇷 한글 설명

Community Events WordPress 플러그인 1.6.0 이전 버전에는 특정 AJAX 액션에 권한 검사 및 nonce 검증이 없습니다. 이로 인해 인증되지 않은 사용자가 검토 대기 중인 이벤트 제출 정보를 조회할 수 있으며, 해당 정보는 공개 사이트에서는 확인할 수 없습니다.

💡 쉬운 설명

이 취약점은 로그인하지 않은 사람도 관리자 검토를 기다리는 이벤트 신청 내용을 볼 수 있게 합니다. 일반 방문자에게는 공개되지 않은 정보가 노출될 수 있습니다.

🇺🇸 원문 (English)

The Community Events WordPress plugin before 1.6.0 does not have authorisation or nonce checks in one of its AJAX actions, allowing unauthenticated users to retrieve details of event submissions awaiting moderation, which are not available anywhere on the public site.

📍 영향받는 시스템

Community Events WordPress 플러그인 1.6.0 미만 버전

⚔️ 공격 벡터

인증 없이 취약한 AJAX 엔드포인트에 요청을 보내 검토 대기 중인 이벤트 제출 데이터를 조회

🛡️ 대응 방법

Community Events 플러그인을 1.6.0 이상으로 업데이트하거나, 업데이트 전까지 플러그인을 비활성화

🔧 검증 코드

출력된 버전이 1.6.0 미만이면 취약한 것이며, 1.6.0 이상이면 패치가 적용된 것입니다. 명령 결과가 없으면 해당 플러그인이 설치되지 않은 것입니다.

Shell / Script 
wp plugin list --name=community-events --fields=name,version,status 2>/dev/null || find /var/www -path '*community-events*' -name 'readme.txt' -exec grep -i 'stable tag' {} \; 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

WordPress