🇰🇷 한글 설명
Import and export users and customers WordPress 플러그인 2.5.2 미만 버전에서 CSV 가져오기 시 권한 검증 오류가 발생합니다. 이로 인해 create_users 권한만 가진 사용자가 새로운 관리자 계정을 생성하거나 기존 사용자를 관리자로 승격시킬 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해 일반 사용자 권한을 가진 사람이 관리자 권한을 탈취할 수 있습니다. CSV 파일을 이용해 몰래 관리자 계정을 만들거나 기존 계정을 관리자로 바꿀 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The Import and export users and customers WordPress plugin before 2.5.2 does not correctly enforce the promote_users capability when assigning roles during a CSV import, allowing users with only the create_users capability to create new administrator accounts or promote existing users to administrator.
📍 영향받는 시스템
Import and export users and customers WordPress plugin version < 2.5.2
⚔️ 공격 벡터
CSV 파일을 이용한 사용자 가져오기 기능을 통한 권한 상승 공격
🛡️ 대응 방법
Import and export users and customers 플러그인을 2.5.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.5.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'import-and-export-users-and-customers'