🇰🇷 한글 설명
JetBackup WordPress 플러그인 3.1.23.5 미만 버전에서 멀티사이트 권한 확인 절차가 누락되었습니다. 이로 인해 메인 사이트의 관리자가 슈퍼 관리자 권한이 없더라도 네트워크 전체의 백업 아카이브와 작업 로그를 다운로드할 수 있습니다.
💡 쉬운 설명
워드프레스 멀티사이트 환경에서 권한이 낮은 관리자가 전체 사이트의 데이터를 몰래 가져갈 수 있는 보안 결함입니다. 이 결함을 이용하면 다른 사이트의 모든 정보가 포함된 백업 파일을 통째로 탈취할 수 있습니다.
🇺🇸 원문 (English)
The JetBackup WordPress plugin before 3.1.23.5 does not perform its multisite authorisation check before serving backup archives and job logs, allowing an administrator of the network's main site who is not a Super Admin to download a full backup of the entire network, including every site's data and the shared webroot.
📍 영향받는 시스템
JetBackup WordPress plugin versions prior to 3.1.23.5
⚔️ 공격 벡터
권한이 제한된 메인 사이트 관리자가 인증 우회를 통해 백업 파일 및 로그에 접근
🛡️ 대응 방법
JetBackup WordPress 플러그인을 3.1.23.5 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 jetbackup 플러그인의 버전을 확인하여 3.1.23.5 미만인지 체크합니다.
wp plugin list --allow-root | grep -E 'jetbackup'