🇰🇷 한글 설명
Project Manager WordPress 플러그인 4.0.7 미만 버전에서 REST API 경로에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 구독자와 같은 인증된 사용자가 자신이 속하지 않은 프로젝트의 작업 내용과 사용자 이메일 주소를 읽거나 작업 보드를 수정할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 권한이 없는 다른 사람의 프로젝트 내용을 훔쳐보거나 내용을 마음대로 바꿀 수 있는 보안 결함입니다. 프로젝트 관리 도구의 접근 제어가 제대로 이루어지지 않아 발생합니다.
🇺🇸 원문 (English)
The Project Manager WordPress plugin before 4.0.7 does not restrict several of its REST API routes to the projects a user belongs to, allowing any authenticated user, such as a subscriber, to read other projects' task content and user email addresses and to modify other projects' task boards.
📍 영향받는 시스템
Project Manager WordPress plugin version < 4.0.7
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 REST API 엔드포인트에 접근하여 데이터를 요청하거나 수정함
🛡️ 대응 방법
Project Manager WordPress 플러그인을 최신 버전(4.0.7 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 project-manager의 버전을 확인하여 4.0.7 미만인지 체크합니다.
wp plugin list --status=active | grep 'project-manager'