🇰🇷 한글 설명
WP Delicious 플러그인의 CSV 레시피 임포트 기능에서 악의적인 PHP 파일을 업로드할 수 있는 취약점입니다. Contributor 이상의 권한을 가진 공격자가 원격 URL을 통해 파일을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
💡 쉬운 설명
WordPress의 레시피 플러그인에서 파일 업로드 시 악의적 파일이 실행될 수 있는 문제입니다. 관리자 권한을 가진 사람이 안전하지 않은 파일을 업로드하면 해커가 웹서버를 장악할 수 있습니다.
🇺🇸 원문 (English)
The WP Delicious – Recipe Plugin for Food Bloggers (formerly Delicious Recipes) plugin for WordPress is vulnerable to arbitrary file uploads when importing recipes via CSV in all versions up to, and including, 1.9.0. This flaw allows an attacker with at least Contributor-level permissions to upload a malicious PHP file by providing a remote URL during a recipe import process, leading to Remote Code Execution (RCE).
📍 영향받는 시스템
WP Delicious (Delicious Recipes) 플러그인 v1.9.0 이하
⚔️ 공격 벡터
CSV 레시피 임포트 시 원격 URL을 통한 악의적 PHP 파일 업로드
🛡️ 대응 방법
플러그인을 v1.9.1 이상으로 업그레이드하거나 Contributor 권한의 임포트 기능 제한
🔧 검증 코드
출력된 버전 번호가 1.9.0 이하면 취약하며, 1.9.1 이상이면 패치됨
head -30 /var/www/html/wp-content/plugins/delicious-recipes/delicious-recipes.php 2>/dev/null | grep Version: | head -1