🇰🇷 한글 설명
Project Manager WordPress 플러그인 4.0.7 미만 버전에서 REST API 경로의 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 누구나 다른 사용자의 활동 내역, 이메일 주소 및 접근 권한이 없는 프로젝트 세부 정보를 열람할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자라면 누구나 다른 사람의 개인 정보와 비밀 프로젝트 내용을 몰래 훔쳐볼 수 있는 보안 결함입니다. 권한이 없는 사람이 남의 정보를 볼 수 없도록 막는 장치가 빠져 있습니다.
🇺🇸 원문 (English)
The Project Manager WordPress plugin before 4.0.7 does not check that the user whose activity is being requested is the one making the request in one of its REST API routes, allowing any authenticated user, such as a subscriber, to read any other user's activity history along with their email address and the details of projects they have no access to.
📍 영향받는 시스템
Project Manager WordPress plugin version < 4.0.7
⚔️ 공격 벡터
인증된 사용자가 조작된 REST API 요청을 통해 타인의 활동 내역 및 프로젝트 데이터에 접근
🛡️ 대응 방법
Project Manager WordPress 플러그인을 최신 버전(4.0.7 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 Project Manager의 버전을 확인하여 4.0.7 미만인지 체크
wp plugin list --status=active | grep -i 'project-manager'