🇰🇷 한글 설명
Spin Wheel WordPress 플러그인 2.2.1 미만 버전에서 사용자가 실제로 회전을 수행했는지 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 캠페인에 저장된 쿠폰 코드를 탈취하고 미발표된 쿠폰까지 모두 소진시킬 수 있습니다.
💡 쉬운 설명
룰렛을 실제로 돌리지 않고도 당첨 쿠폰을 바로 가져갈 수 있는 보안 허점이 있습니다. 해커가 이 허점을 이용해 사이트에 준비된 모든 쿠폰을 몰래 다 써버릴 수 있습니다.
🇺🇸 원문 (English)
The Spin Wheel WordPress plugin before 2.2.1 does not verify that a visitor actually performed a legitimate spin before returning and consuming a configured prize coupon, allowing unauthenticated users to disclose and drain the stored coupon codes of any campaign, including unpublished ones.
📍 영향받는 시스템
Spin Wheel WordPress plugin version < 2.2.1
⚔️ 공격 벡터
인증되지 않은 사용자가 검증 절차를 우회하여 쿠폰 코드 요청
🛡️ 대응 방법
Spin Wheel WordPress 플러그인을 2.2.1 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 spin-wheel 플러그인의 버전이 2.2.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'spin-wheel'