🇰🇷 한글 설명
WordPress의 Zip Attachments 플러그인 1.6 이하 버전에서 권한 확인 및 게시물 상태 검증 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 비공개 또는 비밀번호로 보호된 게시물의 첨부 파일을 다운로드할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 비밀번호가 걸려 있거나 숨겨진 글에 포함된 파일을 몰래 가져갈 수 있는 보안 구멍이 발견되었습니다. 파일의 보안 설정이 제대로 작동하지 않아 중요한 자료가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Zip Attachments plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check as well as missing post status validation in the za_create_zip_callback function in all versions up to, and including, 1.6. This makes it possible for unauthenticated attackers to download attachments from private and password-protected posts.
📍 영향받는 시스템
WordPress Zip Attachments plugin (버전 1.6 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 취약한 콜백 함수를 호출하여 비공개 게시물의 첨부 파일에 직접 접근 및 다운로드
🛡️ 대응 방법
Zip Attachments 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 zip-attachments 플러그인이 표시되며, 설치된 버전이 1.6 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'zip-attachments'