🇰🇷 한글 설명
SMS Alert WordPress 플러그인 4.0.1 미만 버전에서 관리자 권한 검증 미흡으로 인해 발생하는 취약점입니다. 멀티사이트 네트워크 환경에서 특정 사이트의 관리자가 권한 없이 다른 사이트 소속 사용자의 결제용 전화번호를 조회할 수 있습니다.
💡 쉬운 설명
워드프레스 멀티사이트를 사용하는 경우, 한 사이트의 관리자가 다른 사이트 사용자의 개인 전화번호를 몰래 볼 수 있는 보안 결함입니다. 플러그인 설정 오류로 인해 권한이 없는 정보가 노출되는 문제입니다.
🇺🇸 원문 (English)
The SMS Alert WordPress plugin before 4.0.1 does not check that the acting administrator is allowed to manage the selected users before returning their stored billing phone numbers, allowing an administrator of one site on a multisite network to disclose the phone numbers of users who belong to other sites on that network.
This affects multisite only, and requires the SMS Alert WordPress plugin before 4.0.1's gateway credentials to be stored on the acting administrator's own site.
📍 영향받는 시스템
SMS Alert WordPress plugin version < 4.0.1 (Multisite environment)
⚔️ 공격 벡터
멀티사이트 네트워크 내의 권한을 가진 관리자가 API 또는 플러그인 기능을 통해 타 사이트 사용자의 전화번호를 요청
🛡️ 대응 방법
SMS Alert WordPress 플러그인을 4.0.1 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.0.1보다 낮으면 취약한 상태입니다.
wp plugin list --name=sms-alert --format=json | grep -oP '(?<=version":")[^"]+'