🇰🇷 한글 설명
New User Approve WordPress 플러그인 3.2.10 미만 버전에서 통합 REST API 경로에 대한 인증 검증이 제대로 이루어지지 않습니다. 이로 인해 인증되지 않은 공격자가 등록된 사용자의 개인 정보(ID, 사용자 이름, 이메일 주소, 등록 날짜)를 탈취할 수 있습니다.
💡 쉬운 설명
플러그인 설정이 완료되지 않았을 때 보안 구멍이 생겨, 누구나 로그인 없이 사용자들의 이메일과 이름 같은 개인 정보를 볼 수 있는 문제입니다. 해커가 회원 정보를 몰래 가져가는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
The New User Approve WordPress plugin before 3.2.10 does not properly verify authentication on a set of integration REST API routes when the integration is unconfigured, allowing unauthenticated attackers to retrieve personal data (id, username, email address and registration date) of registered users.
📍 영향받는 시스템
WordPress New User Approve plugin version < 3.2.10
⚔️ 공격 벡터
인증되지 않은 상태에서 취약한 REST API 경로로 요청을 보내 사용자 데이터를 조회
🛡️ 대응 방법
New User Approve 플러그인을 최신 버전(3.2.10 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 3.2.10 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep 'new-user-approve' && wp plugin list --all | grep 'new-user-approve'