🇰🇷 한글 설명
WordPress의 Custom Field Suite 플러그인 2.6.7 이하 모든 버전에서 Loop 커스텀 필드를 통한 PHP 코드 주입 취약점이 발견되었습니다. 입력값에 대한 검증 부족으로 eval() 함수가 실행되어, 기여자(Contributor) 권한 이상의 인증된 공격자가 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 일부 관리 권한을 가진 사람이 특수한 코드를 입력해 서버를 마음대로 조종할 수 있는 취약점입니다. 최신 버전으로 업데이트하여 이 구멍을 막아야 합니다.
🇺🇸 원문 (English)
The Custom Field Suite plugin for WordPress is vulnerable to PHP Code Injection in all versions up to, and including, 2.6.7 via the Loop custom field. This is due to insufficient sanitization of input prior to being used in a call to the eval() function. This makes it possible for authenticated attackers, with contributor-level access and above, to execute arbitrary PHP code on the server.
📍 영향받는 시스템
WordPress Custom Field Suite 플러그인 v2.6.7 및 그 이하 모든 버전
⚔️ 공격 벡터
Loop 커스텀 필드에 악의적인 PHP 코드를 주입하여 서버 측에서 실행하게 함
🛡️ 대응 방법
Custom Field Suite 플러그인을 최신 버전(v2.6.8 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과 버전 정보가 출력되면 취약한 버전이 설치된 상태이므로 즉시 업데이트가 필요합니다.
grep "Version:" wp-content/plugins/custom-field-suite/custom-field-suite.php | grep -E '2\.(6\.[0-7]|[0-5]\.)'