🇰🇷 한글 설명
GeoDirectory WordPress 플러그인 2.8.168 이전 버전에서 사용자 검색 핸들러에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 사용자가 관리자를 포함한 모든 등록 사용자의 이메일 주소를 탈취할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 일반 사용자가 사이트의 모든 회원 이메일 주소를 몰래 조회할 수 있는 보안 결함입니다. 관리자의 개인정보까지 노출될 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
The GeoDirectory WordPress plugin before 2.8.168 does not restrict a user-search handler to users allowed to list users, allowing any authenticated user with Contributor-level access or higher to retrieve the email addresses of all registered users, including administrators.
📍 영향받는 시스템
GeoDirectory WordPress plugin version < 2.8.168
⚔️ 공격 벡터
인증된 사용자(Contributor 권한 이상)가 조작된 사용자 검색 요청을 통해 데이터 탈취
🛡️ 대응 방법
GeoDirectory 플러그인을 최신 버전인 2.8.168 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 GeoDirectory 플러그인의 버전을 확인하여 2.8.168 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'geodirectory'