🇰🇷 한글 설명
WPVR 워드프레스 플러그인 9.0.3 이전 버전은 가상 투어를 업데이트할 때 객체 단위의 소유권 검사를 수행하지 않습니다. 이로 인해 기고자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자가 만든 투어를 수정, 재설정, 게시할 수 있습니다.
💡 쉬운 설명
워드프레스의 WPVR 플러그인에서 일반 작성자 권한을 가진 사용자가 다른 사람이 만든 가상 투어를 임의로 고칠 수 있는 문제입니다. 플러그인을 9.0.3 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
The WPVR WordPress plugin before 9.0.3 does not perform object-level ownership checks when updating virtual tours, allowing users with contributor-level access and above to modify, reconfigure and publish tours created by other users.
📍 영향받는 시스템
WPVR 워드프레스 플러그인 9.0.3 이전 버전 (WordPress 사이트)
⚔️ 공격 벡터
기고자(Contributor) 이상 권한을 가진 인증된 사용자가 다른 사용자의 가상 투어 객체를 대상으로 업데이트 요청을 보내 수정 및 게시
🛡️ 대응 방법
WPVR 플러그인을 9.0.3 이상 버전으로 업데이트하고, 불필요한 기고자 이상 계정 권한을 점검
🔧 검증 코드
출력된 버전이 9.0.3 미만이면 취약하고, 9.0.3 이상이면 패치가 적용된 상태입니다.
wp plugin list --name=wpvr --fields=name,version 2>/dev/null || grep -i 'Version:' wp-content/plugins/wpvr/wpvr.php 2>/dev/null