🇰🇷 한글 설명
Nexter Blocks WordPress 플러그인 5.0.2 미만 버전에서 REST API 엔드포인트의 권한 제한 미흡으로 인해 발생합니다. 기여 권한(Contributor) 이상의 사용자가 사이트 전체에 적용되는 임의의 CSS를 저장할 수 있어, 웹사이트 변조, 콘텐츠 은닉 및 UI 리드레싱 공격이 가능합니다.
💡 쉬운 설명
낮은 권한을 가진 사용자도 웹사이트의 디자인을 마음대로 바꿀 수 있는 보안 결함입니다. 이를 통해 사이트 화면을 엉망으로 만들거나 특정 내용을 숨길 수 있습니다.
🇺🇸 원문 (English)
The Nexter Blocks WordPress plugin before 5.0.2 does not restrict who can save global CSS through one of its REST endpoints, allowing users with at least the Contributor role to store arbitrary CSS that is rendered site-wide on the front end, enabling defacement, content hiding, and UI redressing.
📍 영향받는 시스템
Nexter Blocks WordPress plugin version < 5.0.2
⚔️ 공격 벡터
권한이 낮은 사용자(Contributor 이상)가 REST API를 통해 악성 CSS 코드를 전송하여 저장
🛡️ 대응 방법
Nexter Blocks 플러그인을 최신 버전인 5.0.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 5.0.2 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'nexter-blocks' && wp plugin list --all | grep -E 'nexter-blocks' | awk '{print $2 " " $3}'