🇰🇷 한글 설명
MapPress WordPress 플러그인 2.97.15 이전 버전은 프론트엔드 지도 임베드 핸들러가 렌더링할 사용자 데이터를 제한하지 않습니다. 이로 인해 인증되지 않은 방문자가 사용자 ID를 열거하여 사이트 내 모든 사용자의 이메일 주소와 표시 이름을 조회할 수 있습니다.
💡 쉬운 설명
지도 기능을 담당하는 워드프레스 플러그인의 결함으로, 로그인하지 않은 사람도 사이트 회원들의 이메일과 이름을 볼 수 있습니다. 개인정보가 노출될 수 있으므로 플러그인을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
The MapPress WordPress plugin before 2.97.15 does not restrict which user's data its front-end map embed handler renders, allowing unauthenticated visitors to retrieve the email address and display name of any user on the site by enumerating user IDs.
📍 영향받는 시스템
MapPress WordPress 플러그인 2.97.15 미만 버전
⚔️ 공격 벡터
비인증 공격자가 사용자 ID를 순차적으로 바꿔가며 지도 임베드 요청을 보내 사용자 이메일과 표시 이름을 수집
🛡️ 대응 방법
MapPress 플러그인을 2.97.15 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.97.15 미만이면 취약하며, 2.97.15 이상이면 패치가 적용된 것입니다.
wp plugin get mappress-google-maps-for-wordpress --field=version 2>/dev/null