🇰🇷 한글 설명
WP Fusion Lite 3.48.0 미만 버전에서 관리자 초기화 중 실행되는 설정 핸들러에 인증이 필요하지 않은 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 사이트의 CRM 통합 엔드포인트와 자격 증명을 덮어쓸 수 있으며, 결과적으로 동기화된 사용자 데이터가 공격자가 지정한 호스트로 전송될 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 설정값을 몰래 바꿔치기할 수 있는 보안 구멍입니다. 이로 인해 회원들의 소중한 개인정보가 해커의 서버로 몰래 전송될 위험이 있습니다.
🇺🇸 원문 (English)
The WP Fusion Lite WordPress plugin before 3.48.0 does not require authentication on a settings handler that runs during admin initialization, allowing unauthenticated users to overwrite the site's CRM integration endpoint and credentials, after which synced user data is delivered to an attacker-chosen host.
📍 영향받는 시스템
WP Fusion Lite WordPress plugin version < 3.48.0
⚔️ 공격 벡터
인증되지 않은 사용자가 관리자 초기화 단계의 설정 핸들러를 통해 CRM 엔드포인트 및 자격 증명을 조작
🛡️ 대응 방법
WP Fusion Lite 플러그인을 최신 버전(3.48.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 3.48.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'wp-fusion-lite'