🇰🇷 한글 설명
The Visualizer WordPress 플러그인 4.0.6 미만 버전에서 차트 삭제 요청에 대한 권한 검증이 적절히 이루어지지 않습니다. 사이트 전체 권한만 확인하고 개별 객체에 대한 소유권 확인을 수행하지 않아, 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자가 생성한 차트를 포함하여 사이트 내 모든 차트를 영구적으로 삭제할 수 있습니다.
💡 쉬운 설명
플러그인에 권한 설정 오류가 있어, 일반적인 작성자 권한을 가진 사람도 다른 사람이 만든 차트를 마음대로 지울 수 있는 문제입니다. 이로 인해 중요한 데이터 시각화 자료가 예고 없이 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
The Visualizer WordPress plugin before 4.0.6 does not properly authorise chart-deletion requests, performing only a site-wide capability check with no per-object ownership verification, allowing users with the Contributor role and above to permanently delete any chart on the site, including charts created by other users such as administrators.
📍 영향받는 시스템
The Visualizer WordPress plugin version < 4.0.6
⚔️ 공격 벡터
권한이 낮은 사용자(Contributor 이상)가 차트 삭제 API 요청을 직접 전송하여 공격
🛡️ 대응 방법
The Visualizer 플러그인을 최신 버전인 4.0.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 4.0.6 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --allow-root | grep -E 'the-visualizer'