🇰🇷 한글 설명
Advanced Views – Display Posts, Custom Fields, and More 플러그인의 Twig 템플릿 처리에서 입력 검증 부족으로 인한 Server-Side Template Injection 취약점입니다. 저자 권한 이상의 인증된 공격자가 Model 패널을 통해 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인이 사용자 입력을 제대로 검증하지 않아 악의적인 코드 실행을 허용합니다. 저자 이상의 권한을 가진 공격자가 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
The Advanced Views – Display Posts, Custom Fields, and More plugin for WordPress is vulnerable to Server-Side Template Injection in all versions up to, and including, 3.7.19. This is due to insufficient input sanitization and lack of access control when processing custom Twig templates in the Model panel. This makes it possible for authenticated attackers, with author-level access or higher, to execute arbitrary PHP code and commands on the server.
📍 영향받는 시스템
Advanced Views – Display Posts, Custom Fields, and More 플러그인 버전 3.7.19 이하
⚔️ 공격 벡터
인증된 저자 권한 이상의 공격자가 Model 패널의 Twig 템플릿 입력을 통한 Server-Side Template Injection 실행
🛡️ 대응 방법
플러그인을 3.7.20 이상으로 즉시 업데이트
🔧 검증 코드
플러그인 버전이 3.7.20 미만이면 취약 상태이며, 3.7.20 이상 또는 플러그인 미설치 상태이면 안전합니다.
wp plugin get advanced-views --field=version 2>/dev/null || grep -m1 'Version:' /wp-content/plugins/advanced-views/advanced-views.php 2>/dev/null || echo 'Plugin not found'