🇰🇷 한글 설명
Passster WordPress 플러그인 4.3.6 미만 버전에서 카테고리 기반 콘텐츠 보호가 WordPress REST API에 적용되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 REST API를 통해 카테고리로 잠긴 게시물의 전체 내용, 제목 및 요약을 읽을 수 있습니다.
💡 쉬운 설명
특정 카테고리의 글을 숨겨두었음에도 불구하고, 특수한 통로(API)를 통해 누구나 글의 전체 내용을 몰래 볼 수 있는 문제입니다. 비밀번호로 잠가둔 글이 제대로 작동하지 않는 상태라고 이해하면 됩니다.
🇺🇸 원문 (English)
The Passster WordPress plugin before 4.3.6 does not enforce its category-based content protection on the WordPress REST API, allowing unauthenticated users to read the full content, title, and excerpt of category-locked posts through the core REST API.
📍 영향받는 시스템
Passster WordPress plugin version < 4.3.6
⚔️ 공격 벡터
인증되지 않은 공격자가 WordPress REST API 엔드포인트를 호출하여 잠긴 콘텐츠에 접근
🛡️ 대응 방법
Passster 플러그인을 최신 버전(4.3.6 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 Passster 플러그인의 버전을 확인하여 4.3.6 미만인지 체크
wp plugin list --status=active | grep -i 'passster'