🇰🇷 한글 설명
Fiber Admin 워드프레스 플러그인 4.0.1 이전 버전에는 일부 AJAX 작업에 권한 검사가 없습니다. 이로 인해 인증되지 않은 사용자도 초안, 비공개 글, 내비게이션 메뉴 항목의 순서를 임의로 변경할 수 있으며, 용어 정렬이 활성화된 경우 분류 용어의 순서도 바꿀 수 있습니다.
💡 쉬운 설명
로그인하지 않은 사람도 워드프레스 사이트의 글이나 메뉴 순서를 임의로 바꿀 수 있는 취약점입니다. 공개되지 않은 글의 순서까지 건드릴 수 있어 사이트 관리에 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
The Fiber Admin WordPress plugin before 4.0.1 does not have authorisation checks in some of its AJAX actions, allowing unauthenticated users to change the order of arbitrary posts, including drafts, private posts and navigation menu items, as well as the order of taxonomy terms when term ordering is enabled.
📍 영향받는 시스템
Fiber Admin 워드프레스 플러그인 4.0.1 이전 버전
⚔️ 공격 벡터
인증 없이 취약한 AJAX 엔드포인트에 요청을 보내 게시물, 메뉴 또는 분류 용어의 순서를 변경
🛡️ 대응 방법
Fiber Admin 플러그인을 4.0.1 이상으로 업데이트하거나, 업데이트 전까지 플러그인을 비활성화
🔧 검증 코드
출력된 버전이 4.0.1 미만이면 취약한 버전이므로 업데이트가 필요하고, 4.0.1 이상이면 패치가 적용된 상태입니다.
wp plugin list --name=fiber-admin --fields=name,version,status 2>/dev/null || grep -rh "Version:" wp-content/plugins/fiber-admin/*.php 2>/dev/null | head -1