🇰🇷 한글 설명
Project Manager WordPress 플러그인 4.0.7 미만 버전에서 임포트 경로에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 사이트의 회원가입 설정과 관계없이 공격자가 미리 설정한 비밀번호를 가진 WordPress 계정을 생성할 수 있습니다.
💡 쉬운 설명
해커가 로그인하지 않은 상태에서도 관리자 권한을 가진 계정을 마음대로 만들 수 있는 보안 결함입니다. 이로 인해 사이트의 회원가입 제한 설정이 무력화되고 해킹 위험이 커집니다.
🇺🇸 원문 (English)
The Project Manager WordPress plugin before 4.0.7 does not have any authorisation check on its import routes, allowing unauthenticated users to create WordPress accounts with a password the attacker already knows, bypassing the site's own registration setting.
📍 영향받는 시스템
Project Manager WordPress plugin version < 4.0.7
⚔️ 공격 벡터
인증되지 않은 사용자가 플러그인의 임포트 경로를 통해 임의의 계정 생성 요청을 전송
🛡️ 대응 방법
Project Manager WordPress 플러그인을 최신 버전(4.0.7 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 project-manager 플러그인의 버전을 확인하여 4.0.7 미만인지 체크
wp plugin list --status=active | grep 'project-manager'