🇰🇷 한글 설명
Media Library Assistant WordPress 플러그인 3.42 이전 버전은 휴지통 비우기(Empty Trash) 미디어 기능에서 CSRF 노스(nonce) 검증을 수행하지 않습니다. 이로 인해 위조된 교차 사이트 요청으로 Editor 이상 권한의 로그인 사용자가 사이트의 휴지통에 있는 모든 첨부파일을 영구 삭제하게 될 수 있습니다.
💡 쉬운 설명
이 취약점은 웹사이트 관리자가 모르는 사이에 악성 링크를 클릭하면 휴지통에 있던 사진과 파일이 영구적으로 삭제될 수 있는 문제입니다. 공격을 막으려면 플러그인을 3.42 이상 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
The Media Library Assistant WordPress plugin before 3.42 does not verify a CSRF nonce on its Empty Trash media action, so a forged cross-site request can cause a logged-in user with the Editor role or above to permanently delete every trashed attachment on the site.
📍 영향받는 시스템
Media Library Assistant WordPress 플러그인 3.42 미만 버전
⚔️ 공격 벡터
로그인된 Editor 이상 권한 사용자가 공격자가 만든 악성 페이지나 링크를 방문하면 CSRF로 휴지통 첨부파일이 영구 삭제됨
🛡️ 대응 방법
Media Library Assistant 플러그인을 3.42 이상 버전으로 업데이트하고 중요한 미디어 파일은 정기적으로 백업
🔧 검증 코드
출력된 버전 번호가 3.42 미만이면 취약하고, 3.42 이상이면 패치가 적용된 것입니다. 명령 결과가 없으면 플러그인 경로나 설치 여부를 확인하세요.
wp plugin get media-library-assistant --field=version 2>/dev/null || grep -m1 'Version:' wp-content/plugins/media-library-assistant/index.php 2>/dev/null