🇰🇷 한글 설명
WordPress의 Media Library Assistant 플러그인 3.35 버전 이하에서 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 설정 탭의 일괄 작업 처리기에서 논스(nonce) 검증이 누락되어, 인증되지 않은 공격자가 관리자를 속여 설정 및 첨부 파일 메타데이터를 삭제하거나 수정하도록 유도할 수 있습니다.
💡 쉬운 설명
관리자가 모르는 사이에 악성 링크를 클릭하게 만들어, 플러그인의 중요한 설정이나 파일을 마음대로 지우거나 바꾸게 만드는 공격입니다. 공격자는 관리자의 권한을 도용하여 시스템에 해를 끼칠 수 있습니다.
🇺🇸 원문 (English)
The Media Library Assistant plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 3.35 This is due to missing nonce verification on the bulk action handlers in the settings tab handlers. This makes it possible for unauthenticated attackers to trick an administrator into performing bulk delete, edit, or purge operations on plugin settings and attachment metadata via a forged request.
📍 영향받는 시스템
WordPress Media Library Assistant plugin (version 3.35 and below)
⚔️ 공격 벡터
관리자가 공격자가 제작한 악성 요청이 포함된 링크를 클릭하도록 유도하는 방식
🛡️ 대응 방법
Media Library Assistant 플러그인을 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 이름과 현재 설치된 버전을 확인하여 3.35 이하인지 체크합니다.
wp plugin list --status=active | grep -i 'media-library-assistant'