🇰🇷 한글 설명
WordPress 플러그인 'The Call Now Button'의 activate 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인을 자신의 계정에 연결하고 악성 버튼을 사이트에 추가할 수 있습니다. 이 취약점은 API 키가 설정되지 않은 신규 설치 환경에서만 악용 가능합니다.
💡 쉬운 설명
웹사이트에 전화 걸기 버튼을 만들어주는 플러그인에 보안 구멍이 있어, 일반 사용자 권한을 가진 사람이 몰래 자신의 계정을 연결할 수 있습니다. 공격자가 이 권한을 이용해 사이트에 악성 버튼을 심어 사용자들을 유인할 위험이 있습니다.
🇺🇸 원문 (English)
The Call Now Button – The #1 Click to Call Button for WordPress plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the activate function in all versions up to, and including, 1.5.3. This makes it possible for authenticated attackers, with Subscriber-level access and above, to link the plugin to their nowbuttons.com account and add malicious buttons to the site. The vulnerability is only exploitable on fresh installs where the plugin has not been previously configured with an API key.
📍 영향받는 시스템
The Call Now Button WordPress plugin (버전 1.5.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 플러그인 활성화 기능을 호출하여 자신의 계정으로 연결 시도
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 설치 즉시 공식 API 키를 설정하여 구성 완료
🔧 검증 코드
출력된 결과에서 플러그인 이름과 현재 설치된 버전을 확인하여 1.5.3 이하인지 체크합니다.
wp plugin list --format=table | grep -E 'call-now-button'