🇰🇷 한글 설명
WP Verify API WordPress 플러그인 1.0.0 버전에서 인증되지 않은 사용자가 REST 경로를 통해 데이터베이스에 임의의 데이터를 삽입할 수 있는 취약점이 발견되었습니다. 또한, 공격자는 이를 악용하여 사이트가 임의의 이메일 주소로 템플릿화된 인증 메일을 발송하도록 유도할 수 있으며, 해당 경로는 속도 제한도 적용되지 않습니다.
💡 쉬운 설명
로그인하지 않은 누구나 웹사이트의 데이터베이스에 가짜 정보를 넣거나, 사이트가 스팸 메일을 대량으로 보내도록 조종할 수 있는 보안 구멍이 있습니다. 이 과정에서 메일 발송 횟수 제한도 없어 사이트가 악용될 위험이 큽니다.
🇺🇸 원문 (English)
The WP Verify API WordPress plugin through 1.0.0 does not have any authorisation check in one of its REST routes, allowing unauthenticated users to insert arbitrary data into its own database table, as well as to make the site send templated verification emails to arbitrary email addresses. The route is not rate limited either.
📍 영향받는 시스템
WP Verify API WordPress plugin 1.0.0 이하 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 검사가 없는 REST API 경로에 악의적인 요청을 전송
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 해당 REST API 경로에 대한 접근 권한 설정을 강화하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.0.0 이하인지 확인이 필요합니다.
wp plugin list --allow-root | grep 'wp-verify-api'