🇰🇷 한글 설명
Gutenberg Essential Blocks WordPress 플러그인 6.4.0 미만 버전에서 발생하는 취약점입니다. 공격자가 REST API 경로를 통해 검증되지 않은 포스트 타입을 요청함으로써, 비공개로 설정된 커스텀 포스트 타입의 게시물을 인증 없이 읽을 수 있습니다.
💡 쉬운 설명
웹사이트의 숨겨진 게시물들을 누구나 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 공격자가 특수한 주소를 이용하면 관리자만 봐야 하는 비공개 글을 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The Gutenberg Essential Blocks WordPress plugin before 6.4.0 does not verify that an attacker-supplied post type is publicly viewable before querying it in one of its public REST routes, allowing unauthenticated users to read published entries of custom post types that the site registered as non-public.
📍 영향받는 시스템
Gutenberg Essential Blocks WordPress plugin version < 6.4.0
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 포스트 타입을 포함한 REST API 요청을 전송
🛡️ 대응 방법
Gutenberg Essential Blocks 플러그인을 6.4.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 6.4.0 미만인지 체크
wp plugin list --status=active | grep -E 'gutenberg-essential-blocks'