🇰🇷 한글 설명
AI Engine WordPress 플러그인 3.8.6 미만 버전에서 권한 검증 미흡으로 인해 발생합니다. 에디터 이상의 권한을 가진 사용자가 제목과 요약을 수정할 수 있는 권한을 악용하여 내비게이션 메뉴, 블록 템플릿, 글로벌 스타일, WooCommerce 쿠폰 등 편집 권한이 없는 임의의 게시물을 수정할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해 편집자 권한을 가진 사람이 원래는 건드릴 수 없는 사이트의 중요한 설정이나 메뉴를 마음대로 바꿀 수 있는 문제입니다. 이를 통해 사이트의 디자인이나 결제 관련 정보를 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The AI Engine WordPress plugin before 3.8.6 does not check that the caller is allowed to edit the targeted object before updating its title and excerpt, allowing users with the Editor role and above to modify arbitrary posts of any type, including content they cannot otherwise edit such as navigation menus, block templates, global styles and WooCommerce coupons.
📍 영향받는 시스템
AI Engine WordPress plugin version < 3.8.6
⚔️ 공격 벡터
에디터 이상의 권한을 가진 사용자가 권한 검증이 누락된 API를 호출하여 임의의 객체 수정
🛡️ 대응 방법
AI Engine WordPress 플러그인을 최신 버전인 3.8.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 AI Engine 플러그인의 버전이 3.8.6 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'ai-engine' && wp plugin list --all | grep -E 'ai-engine' | awk '{print $2 " " $3}'