🇰🇷 한글 설명
WordPress의 aBlocks – Gutenberg Blocks 플러그인에서 여러 AJAX 작업에 대한 권한 확인이 누락되어 데이터가 무단으로 수정되거나 민감한 정보가 노출될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자 권한 이상의 인증된 공격자가 블록 가시성, 유지보수 모드 설정 및 제3자 이메일 마케팅 API 키와 같은 민감한 구성 데이터를 읽을 수 있습니다.
💡 쉬운 설명
워드프레스 플러그인의 보안 설정 오류로 인해, 일반 회원 권한을 가진 사용자도 관리자만 볼 수 있는 중요한 설정값이나 비밀 키를 몰래 훔쳐볼 수 있는 문제입니다. 공격자가 이 정보를 이용하면 사이트의 설정을 바꾸거나 외부 서비스의 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
The aBlocks – WordPress Gutenberg Blocks plugin for WordPress is vulnerable to unauthorized modification of data and disclosure of sensitive information due to missing capability checks on multiple AJAX actions in all versions up to, and including, 2.4.0. This makes it possible for authenticated attackers, with subscriber level access and above, to read plugin settings including block visibility, maintenance mode configuration, and third-party email marketing API keys, as well as read sensitive configuration data including API keys for email marketing services.
📍 영향받는 시스템
aBlocks – WordPress Gutenberg Blocks plugin (버전 2.4.0 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 공격자(구독자 권한 이상)가 조작된 AJAX 요청을 전송하여 권한 검증 없이 데이터에 접근
🛡️ 대응 방법
aBlocks 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.4.0 이하이면 취약한 상태이며, 최신 버전으로 업데이트가 필요합니다.
wp plugin list --name ablocks --format=json | grep -oP '(?<=version\":")[^"]+'