🇰🇷 한글 설명
WP Fusion Lite WordPress 플러그인 3.48.0 미만 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 인증된 일반 구독자 권한을 가진 사용자가 다른 사용자의 이메일 주소를 열람하거나 사용자 간 CRM 재동기화를 트리거할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 관리자 권한 없이도 다른 사람의 이메일 정보를 몰래 보거나 시스템 설정을 건드릴 수 있는 문제입니다. 개인정보 유출 및 데이터 동기화 오류를 일으킬 수 있습니다.
🇺🇸 원문 (English)
The WP Fusion Lite WordPress plugin before 3.48.0 does not perform a capability check on two of its admin AJAX handlers, allowing any authenticated subscriber to read other users' email addresses and to trigger a cross-user CRM re-sync.
📍 영향받는 시스템
WP Fusion Lite WordPress plugin version < 3.48.0
⚔️ 공격 벡터
인증된 사용자(Subscriber)가 권한 검증이 없는 admin AJAX 핸들러를 호출하여 공격
🛡️ 대응 방법
WP Fusion Lite 플러그인을 최신 버전(3.48.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.48.0보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'wp-fusion-lite' && wp plugin list --format=json | jq '.[] | select(.name=="wp-fusion-lite") | .version'