🇰🇷 한글 설명
Kirki WordPress 플러그인 6.3.0 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 관리자가 페이지 빌더에 콘텐츠 수준의 접근 권한을 부여한 사용자가 다른 사용자가 작성한 협업 댓글의 상태를 임의로 변경할 수 있습니다.
💡 쉬운 설명
페이지 편집 권한을 가진 사용자가 자신이 작성하지 않은 다른 사람의 댓글까지 마음대로 수정하거나 관리할 수 있는 문제입니다. 권한이 제한된 사용자가 허용되지 않은 데이터에 접근할 수 있는 보안 허점이 존재합니다.
🇺🇸 원문 (English)
The Kirki WordPress plugin before 6.3.0 does not check that a user is allowed to act on a collaboration comment before changing its state, allowing users whom an administrator has granted content-level access to the page builder to modify comments left by other users, including on pages they cannot themselves open.
📍 영향받는 시스템
Kirki WordPress plugin version < 6.3.0
⚔️ 공격 벡터
권한이 부여된 사용자가 API 또는 페이지 빌더 기능을 통해 타인의 댓글 상태 변경 요청을 전송
🛡️ 대응 방법
Kirki WordPress 플러그인을 최신 버전인 6.3.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 kirki 플러그인의 버전을 확인하여 6.3.0 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'kirki'