🇰🇷 한글 설명
WordPress의 Flow-Flow Social Feed Stream 플러그인 3.0.0에서 4.7.5 버전 사이에서 권한 확인 누락으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 변경하고 관리자 페이지 실행 시 작동하는 악성 자바스크립트를 삽입할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 일반 사용자가 관리자만 할 수 있는 설정 변경을 몰래 할 수 있는 보안 구멍이 있습니다. 공격자가 이 구멍을 통해 나쁜 코드를 심어두면 관리자가 설정 페이지를 열 때마다 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
The Flow-Flow Social Feed Stream plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the flow_flow_social_auth AJAX action in versions 3.0.0 to 4.7.5. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify plugin settings and store arbitrary JavaScript that executes whenever the plugin settings page is viewed.
📍 영향받는 시스템
WordPress Flow-Flow Social Feed Stream plugin versions 3.0.0 to 4.7.5
⚔️ 공격 벡터
인증된 공격자가 flow_flow_social_auth AJAX 액션의 권한 검사 미비점을 악용하여 설정값 조작
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하여 권한 검사 로직이 적용된 패치를 적용하십시오.
🔧 검증 코드
출력된 결과의 버전이 3.0.0에서 4.7.5 사이인지 확인하십시오.
wp plugin list --name flow-flow-social-feed-stream --format=csv | grep -E 'flow-flow-social-feed-stream'