🇰🇷 한글 설명
WordPress의 Qi Blocks 플러그인 1.4.3 이하 버전에서 resize_image_callback() 함수에 권한 확인 절차가 누락되어 발생하는 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 다른 사용자의 미디어 파일을 임의로 리사이징할 수 있습니다. 이 과정에서 의도치 않은 파일 쓰기, 디스크 용량 소모, 대용량 이미지 처리를 통한 서버 자원 남용이 발생할 수 있습니다.
💡 쉬운 설명
플러그인의 권한 확인 오류로 인해, 일반적인 작성 권한을 가진 사용자가 다른 사람의 사진을 마음대로 조작할 수 있는 문제입니다. 이로 인해 서버의 저장 공간이 가득 차거나 서버 성능이 급격히 떨어질 수 있습니다.
🇺🇸 원문 (English)
The Qi Blocks plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on the `resize_image_callback()` function in all versions up to, and including, 1.4.3. This is due to the plugin not properly verifying that a user has permission to resize a specific attachment. This makes it possible for authenticated attackers, with Contributor-level access and above, to resize arbitrary media library images belonging to other users, which can result in unintended file writes, disk consumption, and server resource abuse through processing of large images.
📍 영향받는 시스템
WordPress Qi Blocks plugin (버전 1.4.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 공격자(기여자 권한 이상)가 권한 검증이 없는 함수를 호출하여 임의의 미디어 파일을 리사이징함
🛡️ 대응 방법
Qi Blocks 플러그인을 최신 버전으로 업데이트하여 권한 확인 로직이 적용된 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.3 이하이면 취약한 상태입니다.
wp plugin list --name=qi-blocks --format=json | grep -oP '(?<=version\":")[^"]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access