🇰🇷 한글 설명
Speed Optimizer WordPress 플러그인 7.8.5 이전 버전은 멀티사이트 네트워크 전체에 옵션 변경을 적용하기 전에 네트워크 수준 권한을 확인하지 않으며, 변경 가능한 옵션도 제한하지 않습니다. 이로 인해 Super Admin이 아닌 사이트 관리자도 네트워크 전역 옵션을 생성하거나 덮어쓸 수 있습니다.
💡 쉬운 설명
일반 사이트 관리자가 여러 사이트로 이루어진 워드프레스 네트워크 전체의 설정을 바꿀 수 있는 취약점입니다. 이를 통해 본래 권한이 없는 사용자가 전체 사이트에 영향을 줄 수 있습니다.
🇺🇸 원문 (English)
The Speed Optimizer WordPress plugin before 7.8.5 does not verify network-level privilege before applying an option change to the whole multisite network, nor restrict which option may be changed, allowing a site administrator who is not a Super Admin to create or overwrite network-wide options.
📍 영향받는 시스템
Speed Optimizer WordPress 플러그인 7.8.5 미만 버전이 설치된 WordPress 멀티사이트 환경
⚔️ 공격 벡터
권한이 낮은 사이트 관리자 계정으로 플러그인의 옵션 변경 기능을 호출해 네트워크 전역 옵션을 생성하거나 덮어쓰기
🛡️ 대응 방법
Speed Optimizer 플러그인을 7.8.5 이상 버전으로 업데이트하고, 사이트 관리자 권한을 최소한으로 유지하기
🔧 검증 코드
출력된 버전 번호가 7.8.5 미만이면 취약하므로 업데이트가 필요하고, 7.8.5 이상이면 패치가 적용된 것입니다.
wp plugin get speed-optimizer --field=version --allow-root 2>/dev/null || grep -i 'Version:' /var/www/html/wp-content/plugins/speed-optimizer/*.php 2>/dev/null | head -1