🇰🇷 한글 설명
Motors WordPress 플러그인 1.4.121 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 대상 사용자의 숫자 ID만 알면 작성 중이거나 비공개 상태인 자동차 매물 정보를 무단으로 열람할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 사람도 특정 사용자의 아이디만 알면 숨겨진 판매 글의 제목, 가격, 사진 등을 몰래 볼 수 있는 문제입니다. 개인적인 판매 정보나 준비 중인 게시물이 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Motors WordPress plugin before 1.4.121 does not verify that a request is authorized to view a user's non-published listings before returning them, allowing unauthenticated attackers to read any author's draft, pending and private car listings - including titles, prices, media URLs and seller notes - by supplying only the target's numeric user id.
📍 영향받는 시스템
Motors WordPress plugin version < 1.4.121
⚔️ 공격 벡터
대상 사용자의 숫자 ID를 이용한 인증되지 않은 HTTP 요청을 통한 정보 유출
🛡️ 대응 방법
Motors WordPress 플러그인을 최신 버전(1.4.121 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 motors 플러그인의 버전을 확인하여 1.4.121 미만인지 체크합니다.
wp plugin list --all | grep -i 'motors'