🇰🇷 한글 설명
InfiniteWP Client WordPress 플러그인 1.13.6 미만 버전에서 멀티사이트 설치 시 원격 관리 엔드포인트의 연결 상태와 요청 인증을 제대로 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신의 키를 바인딩하고 관리자 세션을 탈취하여 네트워크 전체를 장악하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
해커가 아무런 권한 없이도 관리자 권한을 훔쳐서 웹사이트 전체를 마음대로 조종할 수 있는 매우 위험한 보안 구멍입니다. 공격자가 자신의 명령어를 웹사이트에 직접 실행시켜 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
The InfiniteWP Client WordPress plugin before 1.13.6 does not properly verify the site-connection state and the authenticity of requests to its remote-management endpoint on WordPress Multisite installations, allowing unauthenticated attackers to bind their own key, hijack an administrator session, and take over the entire network, leading to remote code execution.
📍 영향받는 시스템
InfiniteWP Client WordPress plugin version < 1.13.6 (WordPress Multisite installations)
⚔️ 공격 벡터
인증되지 않은 공격자가 원격 관리 엔드포인트에 조작된 요청을 보내 관리자 세션 및 키를 탈취함
🛡️ 대응 방법
InfiniteWP Client 플러그인을 최신 버전인 1.13.6 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 infinitewp-client의 버전이 1.13.6 미만인지 확인하십시오.
wp plugin list --status=active | grep -E 'infinitewp-client'