🇰🇷 한글 설명
BuddyPress WordPress 플러그인 14.5.0 미만 버전에서 개인 메시지 엔드포인트에 대한 권한 부여가 적절히 이루어지지 않습니다. 이로 인해 인증된 모든 사용자(구독자 이상)가 다른 사용자의 개인 메시지를 읽거나 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자라면 누구나 다른 사람의 비밀 메시지를 몰래 보거나 지울 수 있는 보안 결함입니다. 개인적인 대화 내용이 유출되거나 조작될 위험이 있습니다.
🇺🇸 원문 (English)
The BuddyPress WordPress plugin before 14.5.0 does not properly enforce authorization on its private messaging endpoints, allowing any authenticated user (Subscriber+) to read, modify, or delete other users' private messages.
📍 영향받는 시스템
BuddyPress WordPress plugin version < 14.5.0
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 메시지 엔드포인트에 직접 요청을 보내 데이터를 조작함
🛡️ 대응 방법
BuddyPress 플러그인을 14.5.0 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 BuddyPress의 버전이 14.5.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'buddypress'