🇰🇷 한글 설명
Ad Inserter WordPress 플러그인 2.8.19 미만 버전에서 설정 페이지에 대한 접근 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 권한을 가진 낮은 등급의 사용자도 설정 페이지에 접근하여 악성 PHP 코드를 저장하거나, 이스케이프되지 않은 콘텐츠를 삽입하여 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 아주 낮은 권한을 가진 사용자도 관리자 설정 페이지에 몰래 들어가서 나쁜 코드를 심을 수 있는 문제입니다. 이 코드가 실행되면 사이트가 해킹당하거나 방문자에게 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
The Ad Inserter WordPress plugin before 2.8.19 does not correctly restrict access to one of its settings pages, making it reachable by every logged in user under a configuration its own settings allow, and does not filter the content saved there, allowing users with a role as low as subscriber to store code which is then executed as PHP or served unescaped to site visitors.
📍 영향받는 시스템
WordPress Ad Inserter plugin versions prior to 2.8.19
⚔️ 공격 벡터
로그인된 낮은 권한의 사용자(Subscriber 등)가 권한 제한이 없는 설정 페이지에 악성 PHP 코드를 삽입하여 공격
🛡️ 대응 방법
Ad Inserter 플러그인을 최신 버전인 2.8.19 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ad-inserter의 버전이 2.8.19 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'ad-inserter' && wp plugin list --all | grep -E 'ad-inserter' | awk '{print $2 " " $3}'