🇰🇷 한글 설명
MPG WordPress 플러그인 4.2.3 미만 버전에서 프로젝트 데이터 구조를 적절히 검증하지 않아 SQL 인젝션 공격이 발생할 수 있습니다. 편집자(Editor) 이상의 권한을 가진 사용자가 이를 악용하여 비밀번호 해시와 같은 민감한 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
플러그인이 데이터를 확인하는 과정에서 허점이 있어, 권한이 있는 사용자가 데이터베이스에 몰래 명령어를 입력할 수 있습니다. 이를 통해 관리자의 비밀번호 정보를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
The MPG WordPress plugin before 4.2.3 does not properly validate the structure of imported project data before using it in a database query, allowing users with the Editor role or higher to perform SQL injection attacks and read sensitive data such as password hashes.
📍 영향받는 시스템
MPG WordPress plugin version < 4.2.3
⚔️ 공격 벡터
편집자 이상의 권한을 가진 사용자가 조작된 프로젝트 데이터를 임포트하여 SQL 인젝션 수행
🛡️ 대응 방법
MPG WordPress 플러그인을 최신 버전인 4.2.3 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 버전이 4.2.3 미만으로 나타나면 취약한 버전이 설치된 상태입니다.
wp plugin list --name mpg --format=json | grep -E '"version":"[0-4]\.[0-1-2]\.'