🇰🇷 한글 설명
Clever Mega Menu for Visual Composer WordPress 플러그인 1.0.1 이하 버전에서 AJAX 액션에 대한 논스(nonce) 또는 권한 확인이 누락되었습니다. 이로 인해 구독자를 포함한 모든 인증된 사용자가 메뉴 항목의 메타데이터를 수정하여 사이트의 공개 내비게이션 콘텐츠와 설정을 덮어쓸 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 일반 사용자라면 누구나 웹사이트의 메뉴 내용을 마음대로 바꿀 수 있는 보안 결함입니다. 메뉴의 글자나 링크를 조작하여 사이트 방문자에게 잘못된 정보를 전달할 수 있습니다.
🇺🇸 원문 (English)
The Clever Mega Menu for Visual Composer WordPress plugin through 1.0.1 does not perform a nonce or capability check in an AJAX action that updates navigation menu item metadata, allowing any authenticated user, including Subscribers, to overwrite menu item content and settings that are rendered in the site's public navigation.
📍 영향받는 시스템
Clever Mega Menu for Visual Composer WordPress plugin 1.0.1 이하 버전
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 없는 AJAX 요청을 전송하여 메뉴 메타데이터를 조작
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 권한 관리가 강화된 버전으로 교체하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.0.1 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'clever-mega-menu'