🇰🇷 한글 설명
Code Snippets WordPress 플러그인 3.10.0 미만 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 멀티사이트 네트워크의 하위 사이트 관리자가 요청 데이터를 조작하여 네트워크 전체에 적용되는 스니펫을 활성화, 비활성화 또는 우선순위를 변경할 수 있습니다.
💡 쉬운 설명
워드프레스 멀티사이트를 사용하는 경우, 하위 사이트의 관리자가 권한을 넘어 전체 사이트에 영향을 주는 코드를 마음대로 조작할 수 있는 문제입니다. 이를 통해 전체 네트워크의 동작을 변경하거나 방해할 수 있습니다.
🇺🇸 원문 (English)
The Code Snippets WordPress plugin before 3.10.0 does not perform a capability check on one of its snippet-management actions and derives the network scope of the targeted snippet from the request instead of from the stored record, allowing an administrator of a single subsite on a multisite network to activate, deactivate and reprioritise network-scoped snippets that run across every site in the network.
📍 영향받는 시스템
Code Snippets WordPress plugin version < 3.10.0
⚔️ 공격 벡터
멀티사이트 네트워크의 하위 사이트 관리자가 조작된 요청을 통해 네트워크 범위의 스니펫 설정을 변경함
🛡️ 대응 방법
Code Snippets 플러그인을 3.10.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 code-snippets의 버전을 확인하여 3.10.0 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'code-snippets'