🇰🇷 한글 설명
WordPress용 TikTok 플러그인 1.4.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자가 유효한 TikTok OAuth 인증 코드를 제공할 경우, 인증되지 않은 사용자가 사이트의 TikTok 통합 액세스 토큰을 덮어써서 비즈니스 계정 및 제품 카탈로그 통합 권한을 탈취할 수 있습니다.
💡 쉬운 설명
TikTok 플러그인의 보안 허점을 이용해 해커가 사이트의 TikTok 연결 권한을 가로챌 수 있는 문제입니다. 해커가 가짜 인증 정보를 보내면 사이트의 TikTok 비즈니스 설정이 해커의 것으로 바뀔 수 있습니다.
🇺🇸 원문 (English)
The TikTok plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.4.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to overwrite the merchant's stored TikTok integration access token in wp_options, hijacking the site's TikTok Business and product catalog integration. Successful exploitation requires the attacker to supply a valid TikTok OAuth auth_code issued for the merchant's registered TikTok app, as the plugin's token exchange must receive a message='OK' response from TikTok's API before the stored access token is overwritten.
📍 영향받는 시스템
WordPress TikTok plugin versions up to and including 1.4.1
⚔️ 공격 벡터
유효한 TikTok OAuth auth_code를 이용한 인증되지 않은 사용자의 액세스 토큰 덮어쓰기 공격
🛡️ 대응 방법
TikTok 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
플러그인 목록에서 TikTok 플러그인이 활성화되어 있는지 확인하고, 설치된 버전을 확인하여 1.4.1 이하인지 체크합니다.
wp plugin list --status=active | grep -i 'tiktok' && echo 'Check version manually in plugin folder'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access