🇰🇷 한글 설명
WordPress용 atec Duplicate Page & Post 플러그인의 duplicate_post() 함수에서 권한 검증이 누락되어 발생하는 취약점입니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 비공개 또는 비밀번호 보호된 게시물을 포함한 임의의 게시물을 복제할 수 있으며, 이는 데이터 노출로 이어질 수 있습니다.
💡 쉬운 설명
글 복사 플러그인의 보안 허점으로 인해, 권한이 낮은 사용자가 남의 비밀 글을 몰래 복사해갈 수 있는 문제입니다. 이 과정에서 숨겨진 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The atec Duplicate Page & Post plugin for WordPress is vulnerable to unauthorized post duplication due to missing authorization validation on the duplicate_post() function in all versions up to, and including, 1.2.20. This makes it possible for authenticated attackers, with Contributor-level access and above, to duplicate arbitrary posts, including private and password-protected posts, leading to data exposure.
📍 영향받는 시스템
atec Duplicate Page & Post plugin (버전 1.2.20 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 공격자(기여자 권한 이상)가 권한 검증이 없는 함수를 호출하여 임의의 게시물을 복제함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나 해당 기능을 사용하는 권한 설정을 점검하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 버전이 1.2.20 이하인지 확인해야 합니다.
wp plugin list --allow-root | grep 'atec-duplicate-page-post'