🇰🇷 한글 설명
WPVR 워드프레스 플러그인 9.1.3 이전 버전은 설정 마법사를 통해 투어를 생성할 때 사용자 권한을 올바르게 검사하지 않습니다. 이로 인해 Contributor 이상 권한의 사용자가 본래 생성하거나 게시할 수 없는 투어 콘텐츠를 만들고 게시하며 임의의 게시물 메타데이터를 설정할 수 있습니다.
💡 쉬운 설명
워드프레스 사이트에서 WPVR 플러그인을 사용하는 경우, 기여자(Contributor) 권한을 가진 사용자가 원래 허용되지 않은 투어 콘텐츠를 만들고 게시할 수 있습니다. 9.1.3 이상 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
The WPVR WordPress plugin before 9.1.3 does not correctly check user capabilities when creating a tour through its setup wizard, allowing users with the Contributor role and above to create and publish tour content and set arbitrary post metadata they could not otherwise create or publish.
📍 영향받는 시스템
WPVR 워드프레스 플러그인 9.1.3 미만 버전
⚔️ 공격 벡터
Contributor 이상 권한을 가진 인증된 사용자가 설정 마법사를 통해 권한 검사를 우회하여 투어 콘텐츠를 생성·게시하고 임의의 메타데이터를 설정
🛡️ 대응 방법
WPVR 플러그인을 9.1.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 9.1.3 미만이면 취약하므로 업데이트가 필요하고, 9.1.3 이상이면 패치가 적용된 것입니다.
wp plugin get wpvr --field=version 2>/dev/null || grep -i 'Version:' wp-content/plugins/wpvr/*.php 2>/dev/null | head -1