🇰🇷 한글 설명
Squadeno WordPress 플러그인 1.12.0 미만 버전에서 권한 제한이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 가장 낮은 등급인 Trainer 역할을 가진 사용자도 자신이 할당된 스포츠의 섹션, 연령대, 작성자, 비밀번호, 댓글 설정 및 날짜를 변경할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 원래는 수정할 수 없는 중요한 정보들을 마음대로 바꿀 수 있는 보안 허점이 있습니다. 이로 인해 스포츠 관련 설정이 의도치 않게 변경될 위험이 있습니다.
🇺🇸 원문 (English)
The Squadeno WordPress plugin before 1.12.0 does not enforce its restrictions on every way a sport can be saved, allowing users with the lowest-tier Trainer role to change the section, age group, author, password, comment settings and date of a sport they are assigned to.
📍 영향받는 시스템
Squadeno WordPress plugin version < 1.12.0
⚔️ 공격 벡터
권한이 낮은 Trainer 사용자가 조작된 요청을 통해 스포츠 설정 데이터를 수정하는 방식
🛡️ 대응 방법
Squadeno WordPress 플러그인을 1.12.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Squadeno 플러그인의 버전이 1.12.0 미만인지 확인하십시오.
wp plugin list --all | grep -i 'squadeno'