🇰🇷 한글 설명
WordPress의 AnnunciFunebri Impresa 플러그인 4.7.0 이하 버전에서 권한 확인 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 모든 설정을 삭제하고 초기 상태로 되돌릴 수 있습니다.
💡 쉬운 설명
웹사이트의 낮은 권한을 가진 사용자라도 플러그인의 모든 설정을 강제로 초기화할 수 있는 보안 결함입니다. 이로 인해 공들여 설정해 놓은 플러그인 기능이 모두 사라질 위험이 있습니다.
🇺🇸 원문 (English)
The AnnunciFunebri Impresa plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the annfu_reset_options() function in all versions up to, and including, 4.7.0. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete all 29 plugin options, effectively resetting the plugin to its default state.
📍 영향받는 시스템
AnnunciFunebri Impresa WordPress plugin (v4.7.0 및 그 이하 모든 버전)
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 annfu_reset_options() 함수를 호출하여 설정을 초기화함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 불필요한 경우 플러그인을 삭제하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 버전이 출력되면 취약한 버전인지 확인하십시오.
wp plugin list --status=active | grep -i 'annuncifunebri' && wp plugin list --all | grep -E 'annuncifunebri' | awk '{print $2, $3}'