CVE-2026-19598

요약

WordPress용 Pods – Custom Content Types and Fields 플러그인은 3.3.9를 포함한 모든 버전에서 인증 우회(Authorization Bypass)를 통한 권한 상승(Privilege Escalation) 취약점에 노출되어 있습니다. 이 취약점은 pods_admin AJAX 라우터가 메서드 허용 목록(allowlist), nonce 검증, 로그인 강제, 권한(capability) 게이트를 포함한 모든 접근 검사를 pods_error()를 통해 처리하기 때문에 발생합니다. pods_error()는 JSON meta-box-loader 호환성 경로에서 요청을 종료하는 대신 실패만 PHP 오류 로그에 기록하고 false를 반환하므로 모든 보호 장치가 무력화됩니다. 이로 인해 인증되지 않은 공격자가 관리자(Administrator) 권한으로 권한을 상승시키거나 사이트 소유자를 포함한 모든 사용자 계정의 비밀번호를 덮어써 사이트 전체를 완전히 장악하거나 다른 관리자 작업을 수행할 수 있게 됩니다.

• CVE-2026-19598-익스플로잇

  CVE-2026-19598을 악용하여 WordPress Pods 플러그인에서 인증되지 않은 AJAX 요청을 통해 관리자 계정을 생성하거나 비밀번호를 덮어쓰는 도구로, 대량 스캔 및 멀티스레딩을 지원합니다.

• CVE-2026-19598-PoCPoC

  Pods <= 3.3.9에 영향을 미치는 CVE-2026-19598에 대한 개념 증명(PoC)

• CVE-2026-19598익스플로잇

  WordPress용 사용자 정의 콘텐츠 유형 및 필드 플러그인

• 1day-archive연구

  최근 공개된 CVE에 대한 기술 심층 분석 및 근본 원인 분석 - 패치 리버스 엔지니어링, 개념 증명(PoC) 구축, 1-day 윈도우 내 익스플로잇 기법 문서화

• CVE-2026-19598PoC

  특정 CVE를 연구하고 재현하기 위한 최소한의 Python 저장소로, 통제된 환경에서의 취약점 검증을 목적으로 합니다.