🇰🇷 한글 설명
WordPress용 Video Share VOD 플러그인 2.7.6 이하 버전에서 CSRF 취약점이 발견되었습니다. adminExport() 함수에 nonce 검증이 누락되어 있어, 관리자를 속여 설정을 변경하거나 서버 명령을 실행할 수 있습니다.
💡 쉬운 설명
해커가 만든 가짜 링크를 관리자가 클릭하면, 관리자 모르게 사이트 설정이 바뀌거나 서버가 해킹될 수 있는 보안 결함입니다. 관리자의 권한을 도용하여 악성 명령을 내리는 방식입니다.
🇺🇸 원문 (English)
The Video Share VOD – Turnkey Video Site Builder Script plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.7.6. This is due to missing or incorrect nonce validation on the adminExport() function. This makes it possible for unauthenticated attackers to update settings and execute remote code when the Server command execution setting is enabled via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
📍 영향받는 시스템
Video Share VOD – Turnkey Video Site Builder Script plugin for WordPress (v2.7.6 이하 모든 버전)
⚔️ 공격 벡터
관리자가 악성 링크를 클릭하도록 유도하여 인증 없이 요청을 위조하는 CSRF 공격
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 설정에서 'Server command execution' 옵션을 비활성화하십시오.
🔧 검증 코드
출력된 버전 번호가 2.7.6보다 높거나 같으면 안전하며, 그보다 낮으면 취약한 상태입니다.
wp plugin list --name=video-share-vod --format=json | grep -E '"version": "[0-9]+\.[0-9]+\.[0-9]+"'