🇰🇷 한글 설명
Create WordPress 플러그인 2.5.4 미만 버전에서 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 게시되지 않은 콘텐츠를 읽을 수 있으며, 해당 콘텐츠를 공개 상태로 전환할 수도 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 작성 중인 비밀 글을 몰래 읽거나, 비밀 글을 누구나 볼 수 있게 강제로 공개로 바꿀 수 있는 보안 결함입니다. 플러그인의 권한 확인 절차가 제대로 작동하지 않아 발생합니다.
🇺🇸 원문 (English)
The Create WordPress plugin before 2.5.4 does not perform an authorization check before returning content over one of its REST API routes, and that route additionally publishes the requested content as a side effect, allowing unauthenticated attackers to read unpublished content and to make it publicly available.
📍 영향받는 시스템
Create WordPress plugin version < 2.5.4
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 REST API 경로에 요청을 보내 비공개 콘텐츠를 탈취하거나 공개로 변경
🛡️ 대응 방법
Create WordPress 플러그인을 최신 버전인 2.5.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 'create wordpress'를 확인하고, 설치된 버전이 2.5.4 미만인지 대조하십시오.
wp plugin list --status=active | grep -i 'create wordpress'