🇰🇷 한글 설명
User Profile Builder WordPress 플러그인 3.16.4 이전 버전에서 사용자 등록 후 수행되는 자동 로그인이 새로 생성된 계정에 올바르게 바인딩되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 특정 설정이 적용된 사이트에서 관리자를 포함한 기존 사용자의 인증된 세션을 탈취할 수 있습니다.
💡 쉬운 설명
회원가입 후 자동으로 로그인되는 과정에서 오류가 발생하여, 공격자가 다른 사람(심지어 관리자)의 계정으로 몰래 로그인할 수 있는 문제입니다. 이를 통해 공격자는 사이트의 모든 권한을 가질 위험이 있습니다.
🇺🇸 원문 (English)
The User Profile Builder WordPress plugin before 3.16.4 does not correctly bind the automatic login performed after user registration to the newly created account, allowing unauthenticated attackers to obtain an authenticated session for an arbitrary existing user, including administrators, on sites using a supported but non-default configuration.
📍 영향받는 시스템
WordPress User Profile Builder plugin version < 3.16.4
⚔️ 공격 벡터
사용자 등록 프로세스를 악용하여 기존 사용자의 세션을 가로채는 인증 우회 공격
🛡️ 대응 방법
User Profile Builder 플러그인을 최신 버전인 3.16.4 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.16.4보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep 'user-profile-builder' && wp plugin list --format=json | jq '.[] | select(.name=="user-profile-builder") | .version'