🇰🇷 한글 설명
ProfileGrid WordPress 플러그인 5.9.9.7 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 사용자가 다른 사용자의 개인 메시지 스레드를 삭제하거나 메타데이터를 조작하고 읽음 상태로 변경할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 사람의 비밀 메시지를 마음대로 지우거나 내용을 조작할 수 있는 보안 결함입니다. 개인적인 대화 내용이 노출되거나 훼손될 위험이 있습니다.
🇺🇸 원문 (English)
The ProfileGrid WordPress plugin before 5.9.9.7 does not perform any authorization or ownership check on some of its private-message thread actions, allowing authenticated users with Subscriber-level access and above to soft-delete, tamper with the metadata of, and mark as read other users' private message threads.
📍 영향받는 시스템
ProfileGrid WordPress plugin versions prior to 5.9.9.7
⚔️ 공격 벡터
인증된 사용자(Subscriber 이상)가 권한 검증이 없는 API 또는 요청을 통해 타인의 메시지 스레드에 접근
🛡️ 대응 방법
ProfileGrid 플러그인을 최신 버전인 5.9.9.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 ProfileGrid의 버전을 확인하여 5.9.9.7 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'profilegrid'