🇰🇷 한글 설명
WordPress용 KittyCatfish 2.2 플러그인에서 인증되지 않은 공격자가 데이터베이스 내용을 읽을 수 있는 SQL 인젝션 취약점이 발견되었습니다. 공격자는 base.css.php 또는 kittycatfish.php의 'kc_ad' 매개변수에 이스케이프되지 않은 GET 파라미터를 주입하여 불리언 기반 또는 시간 기반 블라인드 SQL 인젝션 기법으로 민감한 정보를 추출할 수 있습니다.
💡 쉬운 설명
웹사이트 플러그인의 허점을 이용해 해커가 데이터베이스에 몰래 명령을 내려 정보를 빼가는 문제입니다. 로그인하지 않은 외부인도 웹사이트의 중요한 정보를 훔쳐갈 수 있어 위험합니다.
🇺🇸 원문 (English)
KittyCatfish 2.2 plugin for WordPress contains an SQL injection vulnerability that allows unauthenticated attackers to read database contents by exploiting an unescaped GET parameter. Attackers can inject SQL code through the 'kc_ad' parameter in base.css.php or kittycatfish.php to extract sensitive database information using boolean-based blind or time-based blind techniques.
📍 영향받는 시스템
WordPress KittyCatfish plugin version 2.2
⚔️ 공격 벡터
base.css.php 또는 kittycatfish.php 파일의 'kc_ad' GET 파라미터를 통한 SQL 인젝션
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나 사용 중지하고, 입력값 검증 로직을 강화해야 합니다.
🔧 검증 코드
명령어 결과에 kittycatfish와 버전 2.2가 포함되어 있다면 취약한 버전이 설치된 상태입니다.
wp plugin list --allow-root | grep -i 'kittycatfish'