🇰🇷 한글 설명
WP Championship WordPress 플러그인 9.3 미만 버전에서 CSRF 검증이 누락되어 발생합니다. 공격자는 로그인된 관리자가 임의의 팀을 생성/삭제하거나 플러그인 설정을 변경하도록 유도할 수 있으며, 데이터 정제 미흡으로 인해 저장형 XSS 공격도 가능합니다.
💡 쉬운 설명
관리자가 모르는 사이에 악성 링크를 클릭하면, 관리자의 권한으로 플러그인 설정이 바뀌거나 팀 정보가 삭제될 수 있는 보안 약점입니다. 또한 해커가 악성 코드를 심어 관리자의 브라우저에서 실행되게 만들 수도 있습니다.
🇺🇸 원문 (English)
The WP Championship WordPress plugin before 9.3 is lacking CSRF checks in various places, allowing attackers to make a logged in admin perform unwanted actions, such as create and delete arbitrary teams as well as update the plugin's settings. Due to the lack of sanitisation and escaping, it could also lead to Stored Cross-Site Scripting issues
📍 영향받는 시스템
WP Championship WordPress plugin version < 9.3
⚔️ 공격 벡터
로그인된 관리자를 대상으로 한 CSRF(사이트 간 요청 위조) 및 XSS(교차 사이트 스크립팅) 공격
🛡️ 대응 방법
WP Championship 플러그인을 최신 버전(9.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.3 미만이면 취약한 상태입니다.
wp plugin list --name championship | grep -E 'version'