🇰🇷 한글 설명
WordPress용 Hello Plus 플러그인 1.7.7 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 자신의 헤더/푸터 템플릿을 게시하거나 상위 권한 사용자의 활성 템플릿 초안을 수정할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 권한이 낮은 사용자가 허락 없이 사이트의 디자인(헤더나 푸터)을 마음대로 바꾸거나 다른 관리자의 작업물을 건드릴 수 있는 문제입니다. 이를 통해 사이트의 외관을 변조하거나 악성 내용을 삽입할 위험이 있습니다.
🇺🇸 원문 (English)
The Hello Plus plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.7.7. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with Contributor-level access and above, to publish their own Hello+ header/footer templates and draft currently active templates owned by higher-privileged users.
📍 영향받는 시스템
WordPress Hello Plus plugin version 1.7.7 and below
⚔️ 공격 벡터
인증된 낮은 권한의 사용자(Contributor 이상)가 권한 검증 미흡을 악용하여 임의의 템플릿 게시 및 수정
🛡️ 대응 방법
Hello Plus 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 hello-plus가 나타나면 설치된 것이며, 설치된 플러그인의 버전을 확인하여 1.7.7 이하인지 점검하십시오.
wp plugin list --status=active | grep -i 'hello-plus'