🇰🇷 한글 설명
WordPress의 Widgets for Social Photo Feed 플러그인 1.8 이하 버전에서 권한 확인 누락으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 REST API 엔드포인트를 통해 플러그인 설정을 조회하거나 수정할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 사진 피드 설정에 몰래 접근하여 내용을 바꾸거나 정보를 훔쳐볼 수 있는 문제입니다. 플러그인이 사용자가 누구인지 확인하는 절차를 빠뜨려서 발생합니다.
🇺🇸 원문 (English)
The Widgets for Social Photo Feed plugin for WordPress is vulnerable to unauthorized access of data and modification of data due to a missing capability check on the '/trustindex_feed_hook_instagram/troubleshooting' and '/trustindex_feed_hook_instagram/submit-data' REST API endpoints in all versions up to, and including, 1.8. This makes it possible for unauthenticated attackers to access and update plugin settings.
📍 영향받는 시스템
Widgets for Social Photo Feed plugin for WordPress (v1.8 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 REST API 엔드포인트(/trustindex_feed_hook_instagram/...)에 직접 요청을 보내는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 사용하지 않을 경우 삭제하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.8 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'widgets-for-social-photo-feed'