🇰🇷 한글 설명
WordPress용 RSS Aggregator by Feedzy 플러그인의 'feedzy_wizard_step_process' 및 'import_status' 함수에서 권한 확인 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지 생성 권한 없이도 임의의 콘텐츠를 포함한 게시물을 작성하거나 발행할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 원래는 할 수 없는 게시물 작성이나 수정 작업을 마음대로 할 수 있는 보안 허점이 있습니다. 이를 통해 공격자가 웹사이트에 원치 않는 글을 올리거나 내용을 바꿀 수 있습니다.
🇺🇸 원문 (English)
The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'feedzy_wizard_step_process' and 'import_status' functions in all versions up to, and including, 4.4.2. This makes it possible for authenticated attackers, with Contributor access and above, who are normally restricted to only being able to create posts rather than pages, to draft and publish posts with arbitrary content.
📍 영향받는 시스템
RSS Aggregator by Feedzy 플러그인 4.4.2 이하 모든 버전
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 취약한 함수를 호출하여 임의의 콘텐츠를 게시하거나 수정함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하여 권한 검증 로직이 적용된 패치를 적용하십시오.
🔧 검증 코드
플러그인이 설치되어 있는지 확인한 후, 플러그인 상세 정보에서 버전이 4.4.2 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'feedzy' && echo 'Check version manually in plugin directory'