🇰🇷 한글 설명
WP Go Maps WordPress 플러그인 10.0.10 미만 버전에서 공개 단일 마커 REST 엔드포인트에 대한 승인 상태 필터링이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 관리자가 승인하지 않은 마커 기록을 조회할 수 있으며, 여기에는 주소, 설명 필드의 개인정보(PII) 및 지리적 좌표가 포함될 수 있습니다.
💡 쉬운 설명
지도 플러그인에서 관리자가 승인하지 않은 비밀 정보까지 누구나 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 지도에 표시되지 않아야 할 주소나 개인 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The WP Go Maps WordPress plugin before 10.0.10 does not perform any approval-state filtering on its public single-marker REST endpoint, allowing unauthenticated users to retrieve marker records that an administrator has not yet approved for public display, including any PII placed in the address and description fields and the marker's geographic coordinates.
📍 영향받는 시스템
WP Go Maps WordPress plugin versions before 10.0.10
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 REST API 엔드포인트에 직접 요청을 보내 승인되지 않은 데이터를 탈취
🛡️ 대응 방법
WP Go Maps 플러그인을 최신 버전인 10.0.10 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 버전이 10.0.10 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --allow-root | grep -E 'wp-go-maps'