🇰🇷 한글 설명
WordPress의 Popover Windows 플러그인 1.2 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 논스(nonce) 검증이 누락되어 있어, 공격자가 관리자를 속여 악의적인 요청을 보내게 함으로써 플러그인 설정을 임의로 변경할 수 있습니다.
💡 쉬운 설명
관리자가 모르는 사이에 플러그인 설정이 몰래 바뀌는 보안 구멍이 발견되었습니다. 공격자가 보낸 링크를 클릭하기만 해도 사이트 설정이 조작될 수 있습니다.
🇺🇸 원문 (English)
The Popover Windows plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.2. This is due to missing or incorrect nonce validation. This makes it possible for unauthenticated attackers to update the plugin's settings via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
📍 영향받는 시스템
WordPress Popover Windows plugin (버전 1.2 이하)
⚔️ 공격 벡터
관리자가 공격자가 만든 악성 링크를 클릭하도록 유도하여 권한 없는 설정을 변경함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나 사용 중지
🔧 검증 코드
출력된 결과에서 버전 번호가 1.2 이하인지 확인하십시오.
wp plugin list --name popover-windows --format=json | grep -E '"version":"[0-1]\.'