🇰🇷 한글 설명
Academy LMS WordPress 플러그인 3.8.2 이하 버전에서 퀴즈 응시 기록에 대한 접근 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 구독자 권한 이상의 인증된 사용자는 사이트 내 모든 사용자의 IP 주소, 이름, 등록일, 퀴즈 결과 등 개인정보를 포함한 응시 기록을 열람할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 사람들의 시험 결과와 개인정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 이름이나 IP 주소 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Academy LMS WordPress plugin through 3.8.2 does not restrict access to quiz attempt records to their owner, allowing any authenticated user with subscriber-level access and above (enrolled in any single course) to read every user's quiz attempts across the whole site, including personal data such as IP addresses, names, registration dates and quiz results.
📍 영향받는 시스템
Academy LMS WordPress plugin version 3.8.2 and below
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 권한 없는 퀴즈 응시 기록 데이터에 직접 접근
🛡️ 대응 방법
Academy LMS 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 academy-lms가 나타나면 설치된 것이며, 설치된 플러그인의 버전을 확인하여 3.8.2 이하인지 점검해야 합니다.
wp plugin list --status=active | grep -i 'academy-lms'