🇰🇷 한글 설명
WordPress용 Animated Pixel Marquee Creator 플러그인의 모든 버전(1.0.0 포함)에서 CSRF 취약점이 발견되었습니다. marquee 삭제 기능에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 임의의 marquee를 삭제하도록 유도할 수 있습니다.
💡 쉬운 설명
관리자가 악성 링크를 클릭하기만 하면, 공격자가 몰래 웹사이트의 설정을 삭제할 수 있는 보안 허점입니다. 이를 방지하기 위해 사용자의 의도를 확인하는 보안 장치가 빠져 있는 상태입니다.
🇺🇸 원문 (English)
The Animated Pixel Marquee Creator plugin for WordPress is vulnerable to Cross-Site Request Forgery via the 'marquee' parameter in all versions up to, and including, 1.0.0. This is due to missing nonce validation on the marquee deletion function. This makes it possible for unauthenticated attackers to delete arbitrary marquees via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
📍 영향받는 시스템
Animated Pixel Marquee Creator plugin version 1.0.0 and below
⚔️ 공격 벡터
관리자가 공격자가 제작한 악성 링크를 클릭하도록 유도하여 forged request를 실행하는 방식
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 삭제 기능에 nonce 검증 로직을 추가해야 합니다.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 버전 정보를 확인하여 1.0.0 이하인지 점검해야 합니다.
wp plugin list --status=active | grep -i 'animated-pixel-marquee-creator'