🇰🇷 한글 설명
WordPress Time Capsule Plugin 1.21.16 버전에서 인증 우회 취약점이 발견되었습니다. 공격자가 특정 IWP_JSON_PREFIX 헤더가 포함된 조작된 POST 요청을 보내면 인증 없이 관리자 권한을 획득할 수 있습니다. 이를 통해 공격자는 관리자 세션 쿠키를 탈취하고 워드프레스 대시보드에 무단으로 접속할 수 있습니다.
💡 쉬운 설명
로그인 과정 없이도 관리자 권한을 가로챌 수 있는 보안 구멍이 발견되었습니다. 해커가 특수한 명령어를 보내면 마치 관리자인 것처럼 속여 사이트의 모든 권한을 가질 수 있습니다.
🇺🇸 원문 (English)
WordPress Time Capsule Plugin 1.21.16 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain administrative access by sending a crafted POST request with the IWP_JSON_PREFIX header. Attackers can exploit this flaw to obtain valid administrator session cookies and access the WordPress dashboard without providing credentials.
📍 영향받는 시스템
WordPress Time Capsule Plugin 1.21.16 이하 버전
⚔️ 공격 벡터
IWP_JSON_PREFIX 헤더를 포함한 조작된 HTTP POST 요청 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나 사용 중지
🔧 검증 코드
명령어 결과에 'time-capsule' 플러그인이 나타나면 해당 취약점에 노출되었을 가능성이 있으므로 버전을 확인해야 합니다.
wp plugin list --status=active | grep -i 'time-capsule'