🇰🇷 한글 설명
Cookie Consent WordPress 플러그인 0.0.10 미만 버전에서 관리자 권한 확인이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 구독자와 같은 일반 인증된 사용자가 지오로케이션 서비스 라이선스 키를 임의로 변경하여 플러그인의 기능을 방해할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 관리자처럼 설정값을 바꿀 수 있는 보안 구멍이 있습니다. 이로 인해 위치 기반 쿠키 안내창이 제대로 작동하지 않게 만들 수 있습니다.
🇺🇸 원문 (English)
The Cookie Consent WordPress plugin before 0.0.10 does not correctly enforce its intended administrator-only capability check on the REST route that stores its geolocation service license key, so the route falls back to an authentication-only gate, allowing any authenticated user such as a subscriber to overwrite the stored key and disrupt the Cookie Consent WordPress plugin before 0.0.10's geolocation-based consent banner targeting.
📍 영향받는 시스템
Cookie Consent WordPress plugin version < 0.0.10
⚔️ 공격 벡터
인증된 사용자(구독자 등)가 권한 검증이 누락된 REST API 경로를 통해 라이선스 키를 덮어쓰는 방식
🛡️ 대응 방법
Cookie Consent WordPress 플러그인을 0.0.10 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 0.0.10 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'cookie-consent' && wp plugin list --all | grep -E 'cookie-consent' | awk '{print $2 " " $3}'