🇰🇷 한글 설명
WooCommerce WordPress 플러그인의 Custom Fields Account Registration 버전 1.4 미만에서 발생하는 취약점입니다. 기본값이 아닌 데이터베이스 테이블 접두사를 사용하는 사이트에서 사용자 등록 시 커스텀 필드가 user capabilities 메타 키에 값을 쓸 수 있어, 공격자가 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
회원가입 시 특정 항목에 특정 이름을 입력하면 자동으로 관리자 권한을 얻게 되는 보안 결함입니다. 해커가 가짜 계정을 만들면서 동시에 사이트의 주인 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Custom Fields Account Registration For Woocommerce WordPress plugin before 1.4 does not prevent its custom registration fields from writing to the user capabilities meta key on sites that use a non-default database table prefix, so an unauthenticated user who registers an account can be granted the administrator role when a correspondingly named field has been configured.
📍 영향받는 시스템
Custom Fields Account Registration For Woocommerce WordPress plugin < 1.4
⚔️ 공격 벡터
비인증 사용자가 회원가입 과정에서 조작된 커스텀 필드 값을 전송하여 관리자 권한 획득
🛡️ 대응 방법
해당 플러그인을 최신 버전(1.4 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 1.4 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'custom-fields-account-registration'