🇰🇷 한글 설명
Email Subscribers & Newsletters WordPress 플러그인 5.9.35 미만 버전에서 구독자 관리 토큰 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 특정 이메일 주소를 알고 있다면 해당 구독자의 구독 상태를 강제로 변경할 수 있습니다.
💡 쉬운 설명
이메일 뉴스레터 구독 서비스에서 본인 확인 절차가 제대로 이루어지지 않는 문제입니다. 공격자가 다른 사람의 이메일 주소만 알면 그 사람의 구독을 마음대로 취소하거나 강제로 구독하게 만들 수 있습니다.
🇺🇸 원문 (English)
The Email Subscribers & Newsletters WordPress plugin before 5.9.35 does not verify the per-subscriber management token before changing a subscriber's subscription status, allowing unauthenticated users to force-unsubscribe or force-confirm an arbitrary subscriber whose email address they know.
📍 영향받는 시스템
WordPress Email Subscribers & Newsletters plugin version < 5.9.35
⚔️ 공격 벡터
인증되지 않은 공격자가 대상 이메일 주소를 이용해 구독 상태 변경 요청을 전송
🛡️ 대응 방법
Email Subscribers & Newsletters 플러그인을 5.9.35 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 5.9.35 미만인지 체크
wp plugin list --status=active | grep -E 'email-subscribers-newsletters'