🇰🇷 한글 설명
Construction Light WordPress 테마 1.6.8 미만 버전에서 AJAX 액션을 통한 활성화 시 권한 검증 및 CSRF 보호가 누락되었습니다. 이로 인해 구독자와 같은 인증된 사용자가 임의의 동작을 실행할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
로그인 권한이 있는 일반 사용자가 관리자 권한 없이 테마의 설정을 마음대로 변경할 수 있는 보안 결함입니다. 공격자가 사용자의 의도와 상관없이 특정 동작을 강제로 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
The Construction Light WordPress theme before 1.6.8 does not have authorisation and CSRF when activating via an AJAX action, allowing any authenticated users, such as subscriber to activate arbitrary .
📍 영향받는 시스템
Construction Light WordPress theme version < 1.6.8
⚔️ 공격 벡터
인증된 사용자가 AJAX 요청을 조작하여 CSRF 공격을 수행함
🛡️ 대응 방법
Construction Light WordPress 테마를 1.6.8 이상 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 버전이 1.6.8 미만으로 출력되면 취약한 버전이 설치된 상태입니다.
wp plugin list --name=construction-light --format=json | grep -E '"version":"[0-1]\.[0-6]\.[0-7]"'