🇰🇷 한글 설명
HEL Online Classroom: AI-powered Online Classrooms WordPress 플러그인 1.0.3 이하 버전에서 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 액세스 코드로 보호된 강의를 포함하여 모든 강의의 서명된 회의 참여 링크를 획득하고 관리자 권한으로 참여할 수 있습니다.
💡 쉬운 설명
온라인 수업 플러그인의 보안 허점으로 인해, 비밀번호를 모르는 외부인도 수업 링크를 알아내어 관리자 권한으로 수업에 몰래 들어올 수 있습니다. 누구나 수업을 방해하거나 내용을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform authorisation checks on its REST API routes and does not consistently enforce the per-class access code, allowing unauthenticated users to obtain a signed meeting join link for any classroom, including one protected by an access code, and to join it with moderator privileges.
📍 영향받는 시스템
HEL Online Classroom: AI-powered Online Classrooms WordPress plugin version 1.0.3 and below
⚔️ 공격 벡터
인증되지 않은 사용자가 REST API를 통해 권한 검증 없이 회의 참여 링크를 탈취하여 공격
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.0.3 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'hel-online-classroom'