🇰🇷 한글 설명
WordPress용 'The Contest Gallery – Upload, Vote & Sell with PayPal and Stripe' 플러그인의 모든 버전(27.0.3 포함)에서 CSV 인젝션 취약점이 발견되었습니다. 인증되지 않은 공격자가 갤러리 제출 기능을 통해 악성 데이터를 삽입할 수 있으며, 관리자가 내보낸 CSV 파일을 열 때 로컬 시스템에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
공격자가 게시판에 특수하게 조작된 데이터를 남기면, 관리자가 이를 엑셀 파일로 내려받아 열 때 컴퓨터가 해킹될 수 있는 문제입니다. 파일 안에 숨겨진 명령어가 관리자의 컴퓨터에서 자동으로 실행되는 방식입니다.
🇺🇸 원문 (English)
The Contest Gallery – Upload, Vote & Sell with PayPal and Stripe plugin for WordPress is vulnerable to CSV Injection in all versions up to, and including, 27.0.3 via gallery submissions. This makes it possible for unauthenticated attackers to embed untrusted input into exported CSV files, which can result in code execution when these files are downloaded and opened on a local system with a vulnerable configuration.
📍 영향받는 시스템
The Contest Gallery – Upload, Vote & Sell with PayPal and Stripe plugin (v27.0.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 갤러리 제출 양식을 통해 악성 CSV 코드가 포함된 데이터를 삽입
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, CSV 파일을 열 때 수식 실행을 방지하는 보안 설정을 적용하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 27.0.3 이하인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'contest-gallery'