🇰🇷 한글 설명
WP Private Content Plus 3.6.2 이하 버전에서 글로벌 콘텐츠 보호 기능의 접근 제어 결함이 발견되었습니다. 비밀번호 확인 절차가 서버가 아닌 클라이언트 측 쿠키의 존재 여부에만 의존하기 때문에, 인증되지 않은 공격자가 쿠키를 수동으로 설정하여 비밀번호 보호를 우회할 수 있습니다.
💡 쉬운 설명
비밀번호를 입력해야 볼 수 있는 페이지가 있는데, 비밀번호를 확인하는 대신 '비밀번호를 맞췄다는 증표(쿠키)'가 있는지만 확인하는 허점이 있습니다. 공격자는 이 증표를 가짜로 만들어 브라우저에 넣기만 하면 아무런 인증 없이 내용을 볼 수 있습니다.
🇺🇸 원문 (English)
The WP Private Content Plus through 3.6.2 provides a global content protection feature that requires a password. However, the access control check is based only on the presence of an unprotected client-side cookie. As a result, an unauthenticated attacker can completely bypass the password protection by manually setting the cookie value in their browser.
📍 영향받는 시스템
WP Private Content Plus 3.6.2 이하 모든 버전
⚔️ 공격 벡터
브라우저의 쿠키 값을 수동으로 조작하여 인증 절차를 우회하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 3.6.2 이하인지 점검하십시오.
wp plugin list --status=active | grep 'wp-private-content-plus'