🇰🇷 한글 설명
WordPress의 Quick Featured Images 플러그인에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 작성자(Author) 권한 이상의 공격자가 검증되지 않은 키를 사용하여 다른 사용자의 게시물 특성 이미지를 변경하거나 삭제할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 시스템의 허점을 이용해 다른 사람의 글에 달린 대표 이미지를 마음대로 바꾸거나 지울 수 있는 문제입니다. 이는 게시물의 시각적 정보를 임의로 조작할 수 있게 만듭니다.
🇺🇸 원문 (English)
The Quick Featured Images plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 13.7.2 via the qfi_set_thumbnail and qfi_delete_thumbnail AJAX actions due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Author-level access and above, to change or remove featured images of other user's posts.
📍 영향받는 시스템
Quick Featured Images plugin (버전 13.7.2 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 공격자가 qfi_set_thumbnail 또는 qfi_delete_thumbnail AJAX 액션을 통해 조작된 키 값을 전송
🛡️ 대응 방법
Quick Featured Images 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전을 확인하여 13.7.2 이하인지 체크하십시오.
wp plugin list --status=active | grep -i 'quick-featured-images'