🇰🇷 한글 설명
Recipe Card Blocks Lite 워드프레스 플러그인 3.6.4 이전 버전은 레시피 인쇄 기능에서 게시물을 렌더링할 때 권한 검사를 수행하지 않습니다. 이로 인해 인증되지 않은 사용자가 초안, 대기, 비공개, 비밀번호 보호 게시물의 제목, ID, 레시피 내용을 열람할 수 있으며, '발행된 게시물만 인쇄' 옵션도 상태 검사 대상 게시물이 실제 렌더링되는 게시물과 달라 이를 막지 못합니다.
💡 쉬운 설명
아직 공개되지 않은 워드프레스 글의 레시피 내용을 로그인하지 않은 누구나 볼 수 있는 취약점입니다. 공개 여부 설정을 켜 두어도 이 문제는 막히지 않습니다.
🇺🇸 원문 (English)
The Recipe Card Blocks Lite WordPress plugin before 3.6.4 does not perform an authorization check before rendering posts through its recipe print feature, allowing unauthenticated users to disclose the title, ID and recipe content of unpublished posts, including drafts, pending, private and password-protected posts, that contain a recipe card block. Its optional "print only published posts" protection does not prevent this, because the status check is applied to a different post than the one ultimately rendered.
📍 영향받는 시스템
Recipe Card Blocks Lite 워드프레스 플러그인 3.6.4 미만 버전
⚔️ 공격 벡터
인증 없이 레시피 인쇄 기능을 호출해 비공개·초안 게시물의 제목, ID, 레시피 내용을 조회
🛡️ 대응 방법
Recipe Card Blocks Lite 플러그인을 3.6.4 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.6.4 미만이면 취약하므로 즉시 업데이트가 필요하고, 3.6.4 이상이면 패치가 적용된 상태입니다.
wp plugin list --name=recipe-card-blocks-lite --fields=name,version 2>/dev/null || grep -i 'Version' wp-content/plugins/recipe-card-blocks-lite/recipe-card-blocks-lite.php 2>/dev/null