🇰🇷 한글 설명
4.1.2 미만 버전의 OceanWP WordPress 테마에서 AJAX 요청 처리 시 권한 확인 절차가 누락되어 발생하는 취약점입니다. 이로 인해 구독자와 같은 낮은 권한을 가진 인증된 사용자도 darkMod 설정을 임의로 업데이트할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자라면 누구나 테마의 특정 설정을 마음대로 바꿀 수 있는 보안 허점이 발견되었습니다. 관리자가 아닌 사람도 테마의 동작 방식을 변경할 수 있어 문제가 될 수 있습니다.
🇺🇸 원문 (English)
The OceanWP WordPress theme before 4.1.2 is vulnerable to an option update due to a missing capability check on one of its AJAX request handler, allowing any authenticated users, such as subscriber to update the darkMod` setting.
📍 영향받는 시스템
OceanWP WordPress theme version < 4.1.2
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 조작된 AJAX 요청을 전송하여 설정값 업데이트
🛡️ 대응 방법
OceanWP 테마를 최신 버전(4.1.2 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 oceanwp 버전이 4.1.2 미만으로 표시되면 취약한 상태입니다.
wp plugin list --name oceanwp --format=csv | grep -E 'oceanwp,4\[0-9]\.'