🇰🇷 한글 설명
WordPress용 Find And Replace 플러그인의 far_admin_ajax_fun() 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하여 저장형 XSS 공격을 수행하거나 콘텐츠를 임의로 교체할 수 있습니다. 이를 통해 권한 상승 및 악성 리다이렉션이 가능해집니다.
💡 쉬운 설명
로그인하지 않은 누구나 웹사이트의 내용을 마음대로 바꾸거나 악성 코드를 심을 수 있는 보안 구멍이 발견되었습니다. 공격자가 이 구멍을 이용하면 관리자 권한을 뺏거나 방문자를 가짜 사이트로 유인할 수 있습니다.
🇺🇸 원문 (English)
The Find And Replace content for WordPress plugin for WordPress is vulnerable to unauthorized Stored Cross-Site Scripting and Arbitrary Content Replacement due to a missing capability check on the far_admin_ajax_fun() function in all versions up to, and including, 1.1. This makes it possible for unauthenticated attackers to inject arbitrary web scripts into pages that can make privilege escalation and malicious redirects possible.
📍 영향받는 시스템
Find And Replace content for WordPress plugin (버전 1.1 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 권한 확인이 없는 AJAX 함수를 호출하여 악성 스크립트 주입
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나 사용 중지
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나고 버전이 1.1 이하인지 확인하십시오.
wp plugin list --status=active | grep 'find-and-replace' && wp plugin list --all | grep 'find-and-replace'