🇰🇷 한글 설명
WordPress 플러그인인 '爱采集数据采集和发布' 1.0.0 버전에서 핸들러 메서드에 대한 호출 제한 및 권한/nonce 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의로 WordPress 사용자 계정을 생성하거나 분류 체계(taxonomy) 용어를 생성할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 내 웹사이트에 마음대로 관리자 계정을 만들거나 데이터를 조작할 수 있는 보안 구멍이 발견되었습니다. 누구나 권한 없이 사이트의 중요한 설정을 변경할 수 있어 위험합니다.
🇺🇸 원문 (English)
The 爱采集数据采集和发布插件 WordPress plugin through 1.0.0 does not restrict which of its handler methods a request may invoke, and performs no capability or nonce check on them, allowing unauthenticated users to create WordPress user accounts and taxonomy terms.
📍 영향받는 시스템
爱采集数据采集和发布 WordPress plugin version 1.0.0 and below
⚔️ 공격 벡터
인증되지 않은 사용자가 적절한 권한 검증 없이 플러그인의 특정 메서드를 직접 호출하여 공격
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 보안 패치가 완료될 때까지 플러그인 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름이 나타나면 취약한 버전이 설치되어 있을 가능성이 높습니다.
wp-cli plugin list --allow-root | grep '爱采集数据采集和发布'