🇰🇷 한글 설명
WordPress Hybrid Composer 1.4.6 버전에서 인증되지 않은 공격자가 설정을 변경할 수 있는 취약점이 발견되었습니다. 공격자는 hc_ajax_save_option 액션을 악용하여 사용자 등록을 활성화하고 기본 역할을 관리자로 설정함으로써 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 해커가 웹사이트의 설정을 마음대로 바꿀 수 있는 심각한 보안 구멍입니다. 이를 통해 해커는 관리자 권한을 가진 가짜 계정을 만들어 사이트를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
WordPress Hybrid Composer 1.4.6 contains an unauthenticated settings change vulnerability that allows unauthenticated attackers to modify WordPress options by exploiting the hc_ajax_save_option action. Attackers can send POST requests to the admin-ajax.php endpoint with the action parameter set to hc_ajax_save_option to enable user registration and set the default role to administrator, enabling account takeover.
📍 영향받는 시스템
WordPress Hybrid Composer 1.4.6 이하 버전
⚔️ 공격 벡터
admin-ajax.php 엔드포인트에 hc_ajax_save_option 액션이 포함된 POST 요청 전송
🛡️ 대응 방법
Hybrid Composer 플러그인을 최신 보안 패치 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Hybrid Composer의 버전이 1.4.6인지 확인하십시오.
wp plugin list --status=active | grep -i 'hybrid-composer'