🇰🇷 한글 설명
Quiz and Survey Master (QSM) WordPress 플러그인 11.2.4 미만 버전에서 REST API 경로에 대한 객체 소유권 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 권한 이상의 사용자가 다른 사용자가 생성한 퀴즈의 이메일 알림 및 결과 페이지 설정을 읽을 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해 권한이 낮은 사용자가 다른 사람이 만든 퀴즈의 설정 정보를 몰래 볼 수 있습니다. 이 과정에서 이메일 주소와 같은 민감한 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The Quiz and Survey Master (QSM) WordPress plugin before 11.2.4 does not perform a per-object ownership check on the REST routes that return a quiz's email-notification and results-page configuration, allowing users with contributor-level access and above to read the configuration, including notification recipient addresses, of quizzes created by other users.
📍 영향받는 시스템
Quiz and Survey Master (QSM) WordPress plugin version < 11.2.4
⚔️ 공격 벡터
권한을 가진 사용자가 조작된 REST API 요청을 통해 타인의 퀴즈 설정 데이터에 접근
🛡️ 대응 방법
Quiz and Survey Master (QSM) 플러그인을 11.2.4 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 버전이 11.2.4 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --allow-root | grep -E 'quiz-and-survey-master'