🇰🇷 한글 설명
AI Engine WordPress 플러그인 3.6.1 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 멀티사이트의 하위 사이트 관리자 권한을 가진 사용자가 네트워크 관리자를 포함한 모든 계정을 탈취할 수 있습니다.
💡 쉬운 설명
멀티사이트를 사용하는 웹사이트에서 하위 관리자가 전체 사이트의 대장 권한을 뺏을 수 있는 보안 구멍이 발견되었습니다. 이로 인해 관리자 계정이 통째로 해킹당할 위험이 있습니다.
🇺🇸 원문 (English)
The AI Engine WordPress plugin before 3.6.1 does not verify that the requesting user is authorized to act on the targeted account before performing privileged user management operations, allowing users with the Administrator role on a Multisite sub-site to take over any account on the network, including the Network Administrator's.
📍 영향받는 시스템
AI Engine WordPress plugin version < 3.6.1
⚔️ 공격 벡터
멀티사이트 하위 사이트의 Administrator 권한을 이용한 권한 없는 사용자 관리 작업 수행
🛡️ 대응 방법
AI Engine WordPress 플러그인을 3.6.1 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ai-engine의 버전이 3.6.1 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'ai-engine' && wp plugin list --all | grep -E 'ai-engine' | awk '{print $2, $3}'