🇰🇷 한글 설명
WordPress Insert PHP 플러그인 3.3.1 이전 버전은 PHP 코드 주입 취약점을 포함하고 있습니다. 공격자는 인증 없이 WordPress REST API를 통해 악의적인 숏코드를 주입하여 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 관리자가 아닌 사람도 플러그인의 결함을 이용해 서버에 악성 코드를 심을 수 있는 심각한 문제입니다. 이를 통해 해커가 사이트의 모든 파일을 마음대로 조작하거나 데이터를 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
WordPress Insert PHP plugin versions before 3.3.1 contain a PHP code injection vulnerability that allows unauthenticated attackers to execute arbitrary PHP code by injecting malicious shortcodes through the WordPress REST API. Attackers can send POST requests to the wp-json/wp/v2/posts endpoint with crafted content containing insert_php shortcodes to include and execute remote PHP files on the server.
📍 영향받는 시스템
WordPress Insert PHP plugin versions before 3.3.1
⚔️ 공격 벡터
WordPress REST API(wp-json/wp/v2/posts)를 통한 비인증 PHP 코드 주입
🛡️ 대응 방법
Insert PHP 플러그인을 버전 3.3.1 이상으로 즉시 업그레이드하거나 사용하지 않는 경우 제거하십시오.
🔧 검증 코드
출력된 버전이 3.3.1보다 낮으면 취약하며, 3.3.1 이상이거나 플러그인이 설치되지 않았으면 안전합니다.
wp plugin list --format=csv | grep 'insert-php' | awk -F',' '{print $3}'