🇰🇷 한글 설명
WordPress용 WP Go Maps 플러그인 9.0.46 이하 버전에서 CSRF 취약점이 발견되었습니다. REST API가 적절한 토큰 검증 없이 노출되어 있으며, 권한 확인이 없는 GET 요청을 통해 지도 마커나 지형 데이터를 생성, 수정 또는 삭제할 수 있습니다. 이를 통해 인증되지 않은 공격자가 관리자의 권한을 도용하거나 익명 사용자가 데이터를 대량으로 삭제할 수 있습니다.
💡 쉬운 설명
해커가 관리자 몰래 지도에 있는 정보를 마음대로 바꾸거나 삭제할 수 있는 보안 구멍이 발견되었습니다. 관리자가 악성 링크를 클릭하기만 해도 지도 데이터가 통째로 날아갈 위험이 있습니다.
🇺🇸 원문 (English)
The WP Go Maps (formerly WP Google Maps) plugin for WordPress is vulnerable to Cross-Site Request Forgery (CSRF) in all versions up to, and including, 9.0.46. This is due to the plugin exposing state-changing REST actions through an AJAX bridge without proper CSRF token validation, and having destructive logic reachable via GET requests with no permission_callback. This makes it possible for unauthenticated attackers to force logged-in administrators to create, update, or delete markers and geometry features via CSRF attacks, and allows anonymous users to trigger mass deletion of markers via unsafe GET requests.
📍 영향받는 시스템
WP Go Maps (formerly WP Google Maps) plugin version 9.0.46 and below
⚔️ 공격 벡터
CSRF(교차 사이트 요청 위조) 및 권한 검증이 없는 GET 요청을 통한 공격
🛡️ 대응 방법
WP Go Maps 플러그인을 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 이름 옆의 버전이 9.0.46 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'wp-go-maps' && wp plugin list --all | grep -E 'wp-go-maps' | awk '{print $2, $3}'