🇰🇷 한글 설명
Passster WordPress 플러그인 4.3.7 미만 버전에서 발생하는 취약점입니다. 글로벌 보호 기능이 활성화된 경우, edit_posts 권한을 가진 낮은 권한의 사용자가 REST API를 통해 비밀번호로 보호된 콘텐츠를 읽을 수 있습니다.
💡 쉬운 설명
비밀번호를 모르는 일반 작성자 권한의 사용자가 시스템의 허점을 이용해 비밀번호가 걸린 글을 몰래 읽을 수 있는 문제입니다. 보안 설정이 되어 있어도 API를 통하면 내용이 노출될 수 있습니다.
🇺🇸 원문 (English)
The Passster WordPress plugin before 4.3.7 does not restrict low-privilege users holding the edit_posts capability from reading globally password-protected content through the WordPress core REST API when global protection is enabled, allowing any Contributor or higher to read the content of protected pages and posts without knowing the password.
📍 영향받는 시스템
Passster WordPress plugin version < 4.3.7
⚔️ 공격 벡터
권한이 낮은 사용자가 WordPress REST API를 호출하여 보호된 콘텐츠에 접근
🛡️ 대응 방법
Passster 플러그인을 최신 버전인 4.3.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Passster 플러그인의 버전을 확인하여 4.3.7 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'passster'