🇰🇷 한글 설명
Squirrly SEO 플러그인은 12.4.16 버전까지 권한 검증 결함으로 인해 인증된 기여자 이상의 사용자가 관리자 전용 API를 호출할 수 있습니다. 이를 통해 공격자는 Google Search Console 및 Analytics 통합을 무력화하는 등 권한 상승 공격이 가능합니다.
💡 쉬운 설명
이 취약점은 권한이 낮은 사용자가 관리자만 할 수 있는 중요한 설정을 변경할 수 있게 해줍니다. 공격자가 사이트의 검색 엔진 연동 기능을 제거하여 웹사이트 관리에 악영향을 줄 수 있습니다.
🇺🇸 원문 (English)
The SEO Plugin by Squirrly SEO plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 12.4.16. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with contributor-level access and above, to invoke privileged state-changing Squirrly cloud API operations, such as revoking the site's Google Search Console and Google Analytics integrations via `api/gsc/revoke` and `api/ga/revoke`, that are otherwise restricted to administrator-level users holding the `sq_manage_settings` capability.
📍 영향받는 시스템
WordPress Squirrly SEO Plugin versions <= 12.4.16
⚔️ 공격 벡터
인증된 기여자 이상의 권한을 가진 공격자가 API 엔드포인트를 직접 호출하여 권한 우회
🛡️ 대응 방법
Squirrly SEO 플러그인을 12.4.17 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 12.4.16 이하이거나 해당 플러그인이 활성화되어 있다면 영향을 받습니다.
wp plugin list --fields=name,version --status=active | grep 'Squirrly SEO'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access