🇰🇷 한글 설명
pebas® Lisfinity WordPress 테마용 Lisfinity Core 플러그인의 1.4.0 이하 모든 버전에서 권한 상승 취약점이 발견되었습니다. 이 취약점은 플러그인이 기본적으로 에디터 역할을 할당하고 API 사용을 제한하지 않아 발생하며, CVE-2025-6038과 결합하여 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
플러그인을 설치하면 사용자에게 너무 높은 권한이 자동으로 부여되는 보안 결함이 있습니다. 공격자가 이 허점을 이용하면 일반 사용자에서 사이트 관리자 권한까지 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Lisfinity Core - Lisfinity Core plugin used for pebas® Lisfinity WordPress theme plugin for WordPress is vulnerable to privilege escalation in all versions up to, and including, 1.4.0. This is due to the plugin assigning the editor role by default. While limitations with respect to capabilities are put in place, use of the API is not restricted. This vulnerability can be leveraged together with CVE-2025-6038 to obtain admin privileges.
📍 영향받는 시스템
Lisfinity Core plugin (pebas® Lisfinity WordPress theme용) 1.4.0 이하 모든 버전
⚔️ 공격 벡터
기본 할당된 에디터 권한과 제한되지 않은 API를 이용해 관리자 권한으로 상승
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 lisfinity-core의 버전을 확인하여 1.4.0 이하인지 체크합니다.
wp plugin list --allow-root | grep -E 'lisfinity-core'