🇰🇷 한글 설명
Mapster WP Maps WordPress 플러그인 1.24.0 미만 버전에서 공개 REST 엔드포인트에 대한 권한 및 게시물 상태 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 초안, 대기 중, 비공개 또는 휴지통에 있는 게시물을 포함하여 모든 게시물의 제목과 전체 내용을 조회할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트 관리자가 숨겨놓은 글이나 작성 중인 글을 몰래 다 읽을 수 있는 보안 결함입니다. 공개되지 않아야 할 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Mapster WP Maps WordPress plugin before 1.24.0 does not perform any authorization or post-status check on a public REST endpoint, allowing unauthenticated users to retrieve the title and full content of any post regardless of its status, including unpublished (draft, pending, private, and trashed) posts.
📍 영향받는 시스템
Mapster WP Maps WordPress plugin version < 1.24.0
⚔️ 공격 벡터
인증되지 않은 사용자가 취약한 REST API 엔드포인트에 직접 요청을 보내 비공개 게시물 데이터를 탈취
🛡️ 대응 방법
Mapster WP Maps 플러그인을 최신 버전(1.24.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 Mapster WP Maps의 버전을 확인하여 1.24.0 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'mapster-wp-maps'