🇰🇷 한글 설명
FV Flowplayer Video Player 워드프레스 플러그인 7.5.56.7212 이전 버전은 일부 동영상 마이그레이션 기능에 대한 권한 검사가 제대로 이루어지지 않습니다. 해당 기능은 nonce로만 보호되어 있어, 기여자(Contributor) 이상 권한을 가진 사용자가 사이트 전체의 동영상 저장 데이터를 열람하고 일괄 수정할 수 있습니다.
💡 쉬운 설명
워드프레스 동영상 플러그인의 한 기능에 접근 제한이 부족합니다. 글 작성 권한만 있는 사용자도 사이트의 모든 동영상 정보를 보거나 한꺼번에 바꿀 수 있습니다.
🇺🇸 원문 (English)
The FV Flowplayer Video Player WordPress plugin before 7.5.56.7212 does not perform proper authorization checks on one of its video-migration functions, which is protected by a nonce only, allowing users with Contributor-level permissions and above to disclose and bulk-modify the FV Flowplayer Video Player WordPress plugin before 7.5.56.7212's stored video records across the whole site.
📍 영향받는 시스템
WordPress FV Flowplayer Video Player 플러그인 7.5.56.7212 이전 버전
⚔️ 공격 벡터
기여자(Contributor) 이상 권한의 인증된 사용자가 nonce 값을 확보한 뒤 마이그레이션 기능을 호출해 동영상 데이터를 조회하고 일괄 변경합니다.
🛡️ 대응 방법
플러그인을 7.5.56.7212 이상 버전으로 즉시 업데이트하고, 불필요한 기여자 권한 계정을 점검합니다.
🔧 검증 코드
출력된 버전이 7.5.56.7212 미만이면 취약하므로 업데이트가 필요하고, 같거나 높으면 패치된 상태입니다.
wp plugin get fv-wordpress-flowplayer --field=version 2>/dev/null || grep -i 'Version:' wp-content/plugins/fv-wordpress-flowplayer/fv-wordpress-flowplayer.php 2>/dev/null