🇰🇷 한글 설명
WP Mail Log WordPress 플러그인 1.1.3 미만 버전에서 REST API 엔드포인트의 권한 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 관리자(Admin)만 접근 가능한 데이터를 조회하거나 삭제할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 관리자만 볼 수 있는 중요한 정보를 몰래 보거나 지울 수 있는 보안 구멍이 있습니다. 플러그인의 권한 설정이 잘못되어 발생하는 문제입니다.
🇺🇸 원문 (English)
The WP Mail Log WordPress plugin before 1.1.3 does not correctly authorize its REST API endpoints, allowing users with the Contributor role to view and delete data that should only be accessible to Admin users.
📍 영향받는 시스템
WP Mail Log WordPress plugin version < 1.1.3
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 REST API 요청을 통해 관리자 권한의 데이터에 접근
🛡️ 대응 방법
WP Mail Log 플러그인을 최신 버전(1.1.3 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 wp-mail-log의 버전을 확인하여 1.1.3 미만인지 체크
wp plugin list --status=active | grep -i 'wp-mail-log'