🇰🇷 한글 설명
WordPress용 WP Password Policy 플러그인 3.7.1 이하 버전에서 권한 상승 취약점이 발견되었습니다. Module_Password_Hint 클래스의 get_user() 함수가 권한 확인 및 논스(nonce) 검증을 누락하여, 공격자가 임의의 사용자 역할을 설정할 수 있습니다. 이를 통해 일반 사용자 권한을 가진 공격자가 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
로그인 권한이 낮은 일반 사용자가 특수한 요청을 보내 웹사이트의 최고 관리자 권한을 몰래 뺏어올 수 있는 보안 결함입니다. 비밀번호 재설정 과정에서 권한을 확인하는 절차가 빠져 있어 발생합니다.
🇺🇸 원문 (English)
The WP Password Policy plugin for WordPress is vulnerable to Privilege Escalation in all versions up to and including 3.7.1. This is due to missing authorization checks and nonce verification in the `get_user()` function of the `Module_Password_Hint` class, which unconditionally calls `WP_User::set_role()` with the attacker-supplied `role` parameter on any account resolved via `$_POST['user_login']`, without confirming the requesting user holds the capability to assign roles. This makes it possible for authenticated attackers, with subscriber-level access and above, to escalate their own privileges to Administrator by submitting a crafted POST request — with `action` set to `createuser` and `role` set to `administrator` — to the password-reset form endpoint. The vulnerable code path is reachable via the `password_hint` filter hooked during the WordPress password-reset form render, meaning an attacker need only possess a valid password-reset cookie to reach the sink.
📍 영향받는 시스템
WP Password Policy plugin (WordPress) version <= 3.7.1
⚔️ 공격 벡터
인증된 사용자가 password_reset 엔드포인트로 role을 administrator로 설정한 조작된 POST 요청을 전송
🛡️ 대응 방법
WP Password Policy 플러그인을 최신 버전으로 업데이트하거나 해당 기능을 비활성화하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 WP Password Policy의 버전을 확인하여 3.7.1 이하인지 체크합니다.
wp plugin list --status=active | grep -i 'wp-password-policy'