🇰🇷 한글 설명
TikTok WordPress 플러그인 1.4.2 미만 버전에서 URL에 포함된 로그인 코드를 처리하기 전 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 사이트의 자격 증명을 사용하여 임의의 코드를 광고 플랫폼에 등록하도록 유도할 수 있으며, URL 형식이 유사하기만 해도 취약점이 트리거될 수 있습니다.
💡 쉬운 설명
웹사이트 방문자가 특정한 주소(URL)를 통해 접속하는 것만으로도 사이트의 광고 계정에 원치 않는 코드를 등록하게 만들 수 있는 문제입니다. 보안 확인 절차가 부족하여 누구나 사이트의 권한을 악용할 수 있는 상태입니다.
🇺🇸 원문 (English)
The TikTok WordPress plugin before 1.4.2 does not check that a request is authorised before acting on a sign-in code supplied in the URL, so any visitor can make the site redeem a code of their choosing against the advertising platform, using the site's own credentials. It matches that code loosely, so URLs that merely resemble the expected one trigger it too, and the callback runs on every request to the site rather than only on the administrator's sign-in.
📍 영향받는 시스템
TikTok WordPress plugin version < 1.4.2
⚔️ 공격 벡터
조작된 로그인 코드가 포함된 URL을 통해 사이트 방문자에게 요청을 유도하는 방식
🛡️ 대응 방법
TikTok WordPress 플러그인을 최신 버전(1.4.2 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.4.2 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'tiktok' && wp plugin list --all | grep -E 'tiktok' | awk '{print $2 " " $3}'