🇰🇷 한글 설명
Tripzzy WordPress 플러그인 1.5.1 이전 버전에서 권한 확인 및 객체 식별자 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 AJAX 액션을 통해 사이트의 임의의 댓글을 영구적으로 삭제할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트의 댓글을 마음대로 지울 수 있는 보안 구멍이 발견되었습니다. 공격자가 특정 명령을 보내면 사이트에 달린 소중한 댓글들이 모두 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
The Tripzzy WordPress plugin before 1.5.1 does not have authorisation checks, and does not validate the identifier of the object being removed, in an AJAX action available to unauthenticated users, allowing them to permanently delete arbitrary comments on the site.
📍 영향받는 시스템
Tripzzy WordPress plugin version < 1.5.1
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 AJAX 요청을 전송하여 특정 댓글 ID를 삭제
🛡️ 대응 방법
Tripzzy WordPress 플러그인을 최신 버전인 1.5.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 tripzzy가 나타나면 설치된 것이며, 설치된 플러그인의 버전을 확인하여 1.5.1 미만인지 점검해야 합니다.
wp plugin list --status=active | grep -i 'tripzzy'