🇰🇷 한글 설명
PublishPress Revisions: Duplicate Posts, Submit, Approve and Schedule Content Changes 워드프레스 플러그인 4.3.1 이전 버전은 게시 권한을 올바르게 제한하지 않습니다. 이로 인해 편집만 가능한 Contributor 등의 사용자가 검토되지 않은 글과 페이지를 공개 상태로 만들 수 있어 편집 승인 절차를 우회합니다.
💡 쉬운 설명
글을 쓸 수는 있지만 발행 권한은 없는 사용자가 검토를 거치지 않고 글을 공개할 수 있는 문제입니다. 결과적으로 편집자의 승인 절차가 무시됩니다.
🇺🇸 원문 (English)
The PublishPress Revisions: Duplicate Posts, Submit, Approve and Schedule Content Changes WordPress plugin before 4.3.1 does not correctly restrict who may publish content, allowing users such as Contributors who can edit but not publish to make unreviewed posts and pages publicly live, bypassing the intended editorial approval workflow.
📍 영향받는 시스템
PublishPress Revisions 플러그인 4.3.1 미만 버전이 설치된 워드프레스 사이트
⚔️ 공격 벡터
Contributor 등 편집 권한만 가진 인증된 사용자가 플러그인의 권한 검사 결함을 이용해 검토되지 않은 게시물을 공개 상태로 전환
🛡️ 대응 방법
PublishPress Revisions 플러그인을 4.3.1 이상으로 업데이트하고, 기여자 계정의 발행 권한을 점검
🔧 검증 코드
출력된 version 값이 4.3.1 미만이면 취약하고, 4.3.1 이상이면 패치된 것입니다. 아무 결과도 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin list --name=revisions --fields=name,version,status 2>/dev/null || grep -rh "Version:" $(find /var/www -path '*revisions*' -name 'revisions.php' 2>/dev/null | head -1) 2>/dev/null