🇰🇷 한글 설명
wpForo Forum WordPress 플러그인 3.1.3 미만 버전에서 사용자가 자신의 프로필을 수정할 때 특정 필드에 대한 제한이 없습니다. 이로 인해 일반 구독자 권한의 사용자가 관리자 전용 필드를 수정하여 차단된 계정을 활성화하거나 평판 점수를 조작할 수 있습니다.
💡 쉬운 설명
게시판 플러그인의 허점을 이용해 일반 회원이 관리자만 건드릴 수 있는 정보를 마음대로 바꾸는 문제입니다. 이를 통해 정지된 계정을 다시 살리거나 자신의 점수를 가짜로 높일 수 있습니다.
🇺🇸 원문 (English)
The wpForo Forum WordPress plugin before 3.1.3 does not restrict which profile fields a member may set when editing their own account, allowing users with a subscriber-level account to write administrator-controlled account-state and reputation fields on their own profile, including self-activating a pending or banned account and forging their forum reputation score.
📍 영향받는 시스템
wpForo Forum WordPress plugin version < 3.1.3
⚔️ 공격 벡터
사용자 프로필 수정 요청 시 관리자 권한 필드를 포함하여 전송하는 데이터 조작 공격
🛡️ 대응 방법
wpForo Forum 플러그인을 최신 버전인 3.1.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.3보다 낮으면 취약한 상태입니다.
wp-cli plugin list --name=wpforo --format=json | grep -oP '(?<=version":")[^"]+'