🇰🇷 한글 설명
Adwised Web Push Notification WordPress 플러그인 2.5.7 이하 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 비밀 키가 설정되지 않은 환경에서 인증되지 않은 사용자가 임의의 자바스크립트를 저장할 수 있으며, 이는 모든 방문자의 브라우저에서 실행될 수 있습니다.
💡 쉬운 설명
해커가 웹사이트에 몰래 악성 코드를 심어 방문자들의 브라우저를 공격할 수 있는 보안 구멍이 발견되었습니다. 특히 보안 설정이 제대로 되어 있지 않은 사이트에서 공격이 매우 쉽습니다.
🇺🇸 원문 (English)
The Adwised Web Push Notification WordPress plugin through 2.5.7 does not have authorisation checks on several state-changing operations, and the secret comparison it uses instead can be bypassed on installations where the secret key has never been set, allowing unauthenticated users to store arbitrary JavaScript that is executed in the browser of every site visitor.
📍 영향받는 시스템
Adwised Web Push Notification WordPress plugin 2.5.7 이하 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 검증 우회를 통해 악성 자바스크립트 삽입
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하고 보안 비밀 키를 반드시 설정하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(2.5.7 이하)가 출력되면 해당 취약점에 노출된 상태입니다.
wp plugin list --name adwised-web-push-notification --format=json | grep -E '"version":"[0-2]\.[0-5]\.'