🇰🇷 한글 설명
AI Engine WordPress 플러그인 3.7.9 미만 버전에서 미디어 액션 처리 시 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 편집자(Editor) 이상의 권한을 가진 사용자가 탐색 메뉴, 블록 템플릿, 글로벌 스타일 등 권한 밖의 임의 게시물을 삭제할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해 편집자 권한을 가진 사람이 원래는 지울 수 없는 사이트의 중요한 설정이나 디자인 요소들을 마음대로 삭제할 수 있는 문제입니다. 실수나 악의적인 의도로 사이트의 구조를 망가뜨릴 위험이 있습니다.
🇺🇸 원문 (English)
The AI Engine WordPress plugin before 3.7.9 does not check that the item passed to one of its media actions belongs to the requesting user before converting it to an attachment and permanently deleting it, allowing users with the Editor role and above to delete arbitrary posts of any type, including content they cannot otherwise delete such as navigation menus, block templates and global styles.
📍 영향받는 시스템
WordPress AI Engine plugin version < 3.7.9
⚔️ 공격 벡터
편집자 이상의 권한을 가진 사용자가 미디어 액션 기능을 악용하여 권한이 없는 게시물 ID를 전달함으로써 공격
🛡️ 대응 방법
AI Engine 플러그인을 최신 버전인 3.7.9 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ai-engine의 버전이 3.7.9 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'ai-engine' && wp plugin list --all | grep -E 'ai-engine' | awk '{print $2, $3}'