🇰🇷 한글 설명
Easy Digital Downloads WordPress 플러그인 3.7.1 미만 버전에서 사용자 등록 설정이 비활성화되어 있어도 WordPress 계정을 생성할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 사이트의 기본 역할을 가진 계정을 생성하고 로그인 세션을 획득할 수 있습니다.
💡 쉬운 설명
웹사이트에서 회원가입을 막아두었음에도 불구하고, 특정 플러그인의 허점을 이용해 누구나 몰래 회원가입을 할 수 있는 문제입니다. 가입된 사용자는 사이트의 기본 권한을 가지게 되어 보안에 위협이 될 수 있습니다.
🇺🇸 원문 (English)
The Easy Digital Downloads WordPress plugin before 3.7.1 does not consult the site's user registration setting before creating a WordPress account, allowing unauthenticated users to create an account and receive a logged-in session even when registration is disabled. The created account receives the site's default role.
📍 영향받는 시스템
Easy Digital Downloads WordPress plugin version < 3.7.1
⚔️ 공격 벡터
인증되지 않은 공격자가 플러그인의 계정 생성 로직을 악용하여 직접 회원가입 요청을 보냄
🛡️ 대응 방법
Easy Digital Downloads 플러그인을 3.7.1 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 easy-digital-downloads의 버전이 3.7.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'easy-digital-downloads'