🇰🇷 한글 설명
WordPress의 Flo Forms 플러그인에서 SVG 파일 업로드 시 적절한 검증이 이루어지지 않아 발생하는 저장형 XSS 취약점입니다. 인증되지 않은 공격자가 악성 자바스크립트가 포함된 SVG 파일을 업로드할 수 있으며, 관리자가 이를 확인할 경우 사이트 권한이 탈취될 수 있습니다.
💡 쉬운 설명
해커가 그림 파일처럼 보이는 악성 파일을 몰래 올려두고, 관리자가 그 파일을 클릭하면 관리자 권한을 훔쳐가는 공격입니다. 로그인하지 않은 외부인도 이 파일을 올릴 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The Flo Forms – Easy Drag & Drop Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG file uploads in all versions up to, and including, 1.0.43. This is due to the plugin allowing SVG file uploads via an unauthenticated AJAX endpoint (`flo_form_submit`) without proper file content validation. This makes it possible for unauthenticated attackers to upload malicious SVG files containing JavaScript that executes when an administrator views the uploaded file in the WordPress admin interface, leading to potential full site compromise.
📍 영향받는 시스템
Flo Forms – Easy Drag & Drop Form Builder plugin (버전 1.0.43 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 AJAX 엔드포인트(flo_form_submit)를 통한 악성 SVG 파일 업로드
🛡️ 대응 방법
Flo Forms 플러그인을 최신 버전으로 업데이트하거나, SVG 파일 업로드 기능을 비활성화하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.0.43 이하인지 확인하여 취약 여부를 판단합니다.
wp plugin list --allow-root | grep -E 'flo-forms'