🇰🇷 한글 설명
2.4.2 미만 버전의 Import and export users and customers WordPress 플러그인은 CSV 가져오기 과정에서 워드프레스의 역할 할당 및 사용자별 편집 권한을 강제하지 않습니다. 이로 인해 사용자 생성 권한만 가진 사용자가 관리자 계정을 생성하거나 기존 관리자의 비밀번호 및 이메일을 덮어쓸 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해 권한이 낮은 사용자가 관리자 권한을 탈취할 수 있는 취약점입니다. 공격자가 가짜 관리자를 만들거나 기존 관리자의 계정 정보를 마음대로 바꿀 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The Import and export users and customers WordPress plugin before 2.4.2 does not enforce WordPress's role-assignment and per-user edit permissions during CSV import, allowing a user holding only the user-creation capability to create an administrator account and to overwrite an existing administrator's password or email.
📍 영향받는 시스템
Import and export users and customers WordPress plugin version < 2.4.2
⚔️ 공격 벡터
CSV 파일을 이용한 사용자 데이터 가져오기 기능을 통한 권한 상승 공격
🛡️ 대응 방법
Import and export users and customers 플러그인을 2.4.2 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 2.4.2 미만인지 체크하십시오.
wp plugin list --status=active | grep 'import-and-export-users-and-customers'