🇰🇷 한글 설명
Nokri – Job Board WordPress Theme의 모든 버전(1.6.4 포함)에서 'nokri_account_member_permissions' 함수에 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 고용주 권한을 가진 사용자를 추가할 수 있으며, 해당 사용자는 관리자를 포함한 모든 사용자의 이메일 주소를 변경하여 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
일반 회원 권한을 가진 사용자가 특정 기능을 악용하여 관리자처럼 행동할 수 있는 보안 결함입니다. 공격자가 관리자의 이메일 주소를 자신의 것으로 바꿔서 사이트 전체 제어권을 뺏을 수 있습니다.
🇺🇸 원문 (English)
The Nokri – Job Board WordPress Theme theme for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'nokri_account_member_permissions' function in all versions up to, and including, 1.6.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to add new Subscriber users with employer account member permissions, who in turn can escalate privileges by updating the email address of any user, including Administrator users.
📍 영향받는 시스템
Nokri – Job Board WordPress Theme 1.6.4 및 그 이전의 모든 버전
⚔️ 공격 벡터
인증된 낮은 권한의 사용자가 권한 검증이 누락된 함수를 호출하여 사용자 권한을 상승시키고 이메일을 변경함
🛡️ 대응 방법
해당 테마를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.4 이하인지 확인하여 취약 여부를 판단합니다.
wp plugin list --name nokri --format=json | grep -E '"version":"[0-9.]+"'