🇰🇷 한글 설명
WordPress용 프로젝트 관리 플러그인인 Projectopia의 모든 버전(5.1.19 포함)에서 pto_delete_file AJAX 액션에 대한 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 첨부 파일을 삭제할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트에 올라온 중요한 파일을 마음대로 삭제할 수 있는 보안 구멍이 발견되었습니다. 관리자 권한이 없는 사람도 파일 삭제 명령을 내릴 수 있어 데이터 손실 위험이 있습니다.
🇺🇸 원문 (English)
The Projectopia – WordPress Project Management plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the pto_delete_file AJAX action in all versions up to, and including, 5.1.19. This makes it possible for unauthenticated attackers to delete arbitrary attachments.
📍 영향받는 시스템
Projectopia WordPress Plugin (버전 5.1.19 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 pto_delete_file AJAX 요청을 조작하여 전송
🛡️ 대응 방법
Projectopia 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 나타나는 Projectopia의 버전을 확인하여 5.1.19 이하인지 체크하십시오.
wp plugin list --allow-root | grep -E 'projectopia'