🇰🇷 한글 설명
WordPress용 Integrate Dynamics 365 CRM 플러그인 1.0.9 이하 버전에서 권한 확인 및 논스(nonce) 검증 누락으로 인한 무단 액세스 취약점이 발견되었습니다. 공격자는 인증 없이 플러그인을 비활성화하거나 OAuth 설정을 조작하고, 테스트 연결을 실행하여 민감한 데이터를 노출시킬 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 CRM 플러그인 설정을 마음대로 바꾸거나 꺼버릴 수 있는 보안 구멍이 발견되었습니다. 이 과정에서 중요한 개인정보나 설정값이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Integrate Dynamics 365 CRM plugin for WordPress is vulnerable to unauthorized access in all versions up to, and including, 1.0.9. This is due to missing capability checks and nonce verification on functions hooked to 'init'. This makes it possible for unauthenticated attackers to deactivate the plugin, tamper with OAuth configuration, and trigger test connections that expose sensitive data via direct request to vulnerable endpoints granted they can craft malicious requests with specific parameters.
📍 영향받는 시스템
Integrate Dynamics 365 CRM plugin for WordPress (버전 1.0.9 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 매개변수를 포함한 악성 HTTP 요청을 취약한 엔드포인트로 직접 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 보안 패치가 적용될 때까지 플러그인 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 현재 설치된 버전이 나타나면 취약할 가능성이 있습니다.
wp plugin list --status=active | grep -i 'dynamics 365' && wp plugin list --all | grep -E 'integrate-dynamics-365-crm|dynamics-365-crm'