🇰🇷 한글 설명
WordPress용 Tablesome Table 플러그인의 set_featured_image_from_external_url() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드 취약점이 발생합니다. 인증되지 않은 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트의 이미지 설정 기능을 악용하여 해커가 몰래 악성 프로그램을 서버에 올릴 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 웹사이트의 제어권을 완전히 빼앗을 위험이 있습니다.
🇺🇸 원문 (English)
The Tablesome Table – Contact Form DB – WPForms, CF7, Gravity, Forminator, Fluent plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the set_featured_image_from_external_url() function in all versions up to, and including, 1.1.32. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible in configurations where unauthenticated users have been provided with a method for adding featured images, and the workflow trigger is created.
📍 영향받는 시스템
Tablesome Table plugin for WordPress (version 1.1.32 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 외부 URL을 통한 특성 이미지 설정 기능을 악용하여 악성 파일을 업로드함
🛡️ 대응 방법
플러그인을 최신 버전으로 즉시 업데이트하거나, 외부 URL을 통한 이미지 설정 기능을 비활성화하십시오.
🔧 검증 코드
명령어 결과에 tablesome-table이 나타나면 해당 플러그인이 설치된 것이며, 설치된 버전이 1.1.32 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'tablesome-table'