🇰🇷 한글 설명
WordPress용 Icegram Express 플러그인 5.9.10 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자가 action ID를 추측하여 run_action_scheduler_task 함수를 호출함으로써 예약된 작업을 강제로 실행하거나 반복할 수 있습니다. 이로 인해 이메일 발송, 유지보수 작업 등 권한이 필요한 작업이 비정상적으로 수행될 수 있습니다.
💡 쉬운 설명
이메일 마케팅 플러그인에 보안 구멍이 있어, 로그인하지 않은 사람도 예약된 작업을 마음대로 실행할 수 있습니다. 이를 통해 원치 않는 이메일이 대량 발송되거나 서버 자원이 낭비될 위험이 있습니다.
🇺🇸 원문 (English)
The Icegram Express - Email Subscribers, Newsletters and Marketing Automation Plugin for WordPress is vulnerable to Missing Authorization in versions up to, and including, 5.9.10. This is due to the plugin not properly verifying that a user is authorized to perform an action in the `run_action_scheduler_task` function. This makes it possible for unauthenticated attackers to execute scheduled actions early or repeatedly by guessing action IDs, potentially triggering email sends, maintenance tasks, or other privileged operations, causing unexpected state changes and resource usage.
📍 영향받는 시스템
Icegram Express - Email Subscribers, Newsletters and Marketing Automation Plugin (버전 5.9.10 이하)
⚔️ 공격 벡터
인증되지 않은 공격자가 action ID를 추측하여 특정 함수를 호출하는 방식
🛡️ 대응 방법
Icegram Express 플러그인을 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Icegram Express 플러그인의 버전을 확인하여 5.9.10 이하인지 점검하십시오.
wp plugin list --status=active | grep -i 'icegram-express'