🇰🇷 한글 설명
Popup Maker WordPress 플러그인 1.4.5 이하 버전에서 권한 검증 미흡으로 인해 발생합니다. 낮은 권한을 가진 사용자(구독자 등)가 관리 페이지에 접근하여 디스플레이 타겟팅 값을 조작할 수 있으며, 이 값이 PHP 콜러블로 실행되어 정보 유출 및 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 관리자처럼 설정값을 바꿀 수 있는 보안 구멍이 발견되었습니다. 이를 통해 악의적인 코드가 실행되어 웹사이트 정보가 새 나가거나 사이트가 멈출 수 있습니다.
🇺🇸 원문 (English)
The Popup Maker WP WordPress plugin through 1.4.5 does not perform authorization checks on several of its actions and exposes its management page to any logged-in user, allowing users with a low-privileged role such as Subscriber to store display-targeting values that are later invoked as zero-argument PHP callables on public page loads, leading to sensitive information disclosure and denial of service.
📍 영향받는 시스템
WordPress Popup Maker plugin version 1.4.5 and below
⚔️ 공격 벡터
낮은 권한을 가진 사용자가 권한 검증이 없는 관리 페이지를 통해 악성 타겟팅 값을 주입
🛡️ 대응 방법
Popup Maker 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 popup-maker의 버전을 확인하여 1.4.5 이하인지 체크하십시오.
wp plugin list --allow-root | grep -i 'popup-maker'