🇰🇷 한글 설명
WordPress용 Beaver Builder 플러그인의 모든 버전(2.9.4 이하 포함)에서 권한 검증 미흡 취약점이 발견되었습니다. 'fl-controls/v1' 네임스페이스의 REST API 엔드포인트에서 적절한 권한 확인을 수행하지 않아, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 사이트 전체의 글로벌 프리셋을 조작할 수 있습니다.
💡 쉬운 설명
웹사이트 편집 도구인 Beaver Builder의 보안 허점으로 인해, 낮은 권한을 가진 사용자도 사이트 전체 디자인 설정을 마음대로 바꿀 수 있습니다. 공격자가 색상이나 배경 설정을 변경하여 사이트의 외관을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
The Beaver Builder – WordPress Page Builder plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 2.9.4. This is due to insufficient capability checks in the REST API endpoints under the 'fl-controls/v1' namespace that control site-wide Global Presets. This makes it possible for authenticated attackers with contributor-level access and above to add, modify, or delete global color and background presets that affect all Beaver Builder content site-wide.
📍 영향받는 시스템
Beaver Builder WordPress Plugin (version 2.9.4 및 그 이하 모든 버전)
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 REST API 엔드포인트를 통해 글로벌 프리셋을 추가, 수정 또는 삭제
🛡️ 대응 방법
Beaver Builder 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 beaver-builder의 버전이 2.9.4 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'beaver-builder'