🇰🇷 한글 설명
4.0.8 미만 버전의 Tutor LMS WordPress 플러그인에서 REST API 요청의 대상 여부를 올바르게 판단하지 못하는 취약점이 발견되었습니다. 이로 인해 읽기 전용 권한을 가진 키 소유자가 해당 키를 발급한 관리자 계정의 권한을 행사할 수 있습니다.
💡 쉬운 설명
읽기 전용 권한만 가진 사용자가 시스템의 허점을 이용해 관리자처럼 모든 권한을 휘두를 수 있는 보안 결함입니다. 마치 열쇠를 빌려준 사람이 열쇠의 기능을 무시하고 집 전체를 마음대로 드나드는 것과 같습니다.
🇺🇸 원문 (English)
The Tutor LMS WordPress plugin before 4.0.8 does not correctly determine whether an incoming request is addressed to its own REST API, and does not enforce the permission recorded against an API credential, allowing the holder of a read-only key to act as the administrator account that issued it.
📍 영향받는 시스템
Tutor LMS WordPress plugin versions prior to 4.0.8
⚔️ 공격 벡터
권한이 낮은 API 키를 사용하여 REST API 요청을 조작함으로써 관리자 권한 탈취
🛡️ 대응 방법
Tutor LMS 플러그인을 최신 버전인 4.0.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 tutor-lms의 버전이 4.0.8 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'tutor-lms'