🇰🇷 한글 설명
WordPress용 PPOM – Product Addons & Custom Fields for WooCommerce 플러그인의 이미지 크롭 기능에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 인증되지 않은 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있는 심각한 취약점입니다. 이 취약점은 무료 버전의 코드에 존재하지만, 유료 버전이 설치 및 활성화된 사용자에게만 영향을 미칩니다.
💡 쉬운 설명
이미지 편집 기능의 허점을 이용해 해커가 몰래 악성 프로그램을 서버에 올릴 수 있는 문제입니다. 이를 통해 해커가 웹사이트의 제어권을 완전히 뺏을 위험이 있습니다.
🇺🇸 원문 (English)
The PPOM – Product Addons & Custom Fields for WooCommerce plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the image cropper functionality in all versions up to, and including, 33.0.15. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible. While the vulnerable code is in the free version, this only affected users with the paid version of the software installed and activated.
📍 영향받는 시스템
PPOM – Product Addons & Custom Fields for WooCommerce (버전 33.0.15 이하 및 유료 버전 사용자)
⚔️ 공격 벡터
인증되지 않은 공격자가 이미지 크롭 기능을 통해 검증되지 않은 임의의 파일을 업로드함
🛡️ 대응 방법
플러그인을 최신 보안 패치 버전으로 업데이트하거나 해당 기능을 비활성화하십시오.
🔧 검증 코드
출력된 플러그인 이름과 버전이 33.0.15 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'ppom' && wp plugin list --all | grep -E 'ppom' | awk '{print $2 " " $3}'