🇰🇷 한글 설명
WordPress용 Ninja Forms 플러그인 3.12.0 버전 및 그 이전 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. CSV 파일 내보내기 기능 시 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 특정 링크를 클릭하게 유도함으로써 내보낸 CSV 파일을 삭제할 수 있습니다.
💡 쉬운 설명
관리자가 악성 링크를 클릭하면 자신도 모르게 중요한 데이터 파일이 삭제될 수 있는 보안 결함입니다. 공격자가 관리자의 권한을 도용하여 파일을 지우는 방식입니다.
🇺🇸 원문 (English)
The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 3.12.0. This is due to missing or incorrect nonce validation when exporting CSV files. This makes it possible for unauthenticated attackers to delete those files granted they can trick an administrator into performing an action such as clicking on a link.
📍 영향받는 시스템
WordPress Ninja Forms plugin version 3.12.0 and below
⚔️ 공격 벡터
관리자가 공격자가 설계한 악성 링크를 클릭하도록 유도하는 CSRF 공격
🛡️ 대응 방법
Ninja Forms 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Ninja Forms의 버전을 확인하여 3.12.0 이하인지 점검하십시오.
wp plugin list --status=active | grep -i 'ninja-forms'