🇰🇷 한글 설명
Masteriyo LMS WordPress 플러그인 2.3.1 미만 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 사용자 세션을 강제로 종료할 수 있는 권한 검증 결함이 발견되었습니다. 공격자는 이를 악용하여 관리자를 포함한 사이트 내 모든 사용자의 활성 세션을 강제로 로그아웃시킬 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 관리자나 다른 사용자들을 강제로 로그아웃시켜 서비스를 방해할 수 있는 보안 약점입니다. 공격자가 특정 명령을 보내면 사용자들이 사용 중이던 접속 상태가 끊어지게 됩니다.
🇺🇸 원문 (English)
The Masteriyo LMS WordPress plugin before 2.3.1 does not correctly verify authorization on an unauthenticated AJAX action used to clear user sessions, allowing unauthenticated attackers to terminate the active sessions (force-logout) of any user on the site, including administrators.
📍 영향받는 시스템
Masteriyo LMS WordPress plugin version < 2.3.1
⚔️ 공격 벡터
인증되지 않은 상태에서 특정 AJAX 액션을 호출하여 세션 종료 요청 전송
🛡️ 대응 방법
Masteriyo LMS 플러그인을 최신 버전(2.3.1 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 버전이 2.3.1보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'masteriyo' && wp plugin list --all | grep -E 'masteriyo' | awk '{print $2 " " $3}'