🇰🇷 한글 설명
WordPress용 Ultra Addons for Contact Form 7 플러그인의 'uacf7_get_generated_pdf' 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 PDF 생성 및 데이터베이스 애드온이 활성화된 경우 폼 제출 PDF를 생성하고 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트의 일반 회원 권한만 있어도 관리자만 봐야 할 설문지나 문의 내용을 PDF 파일로 만들어 몰래 볼 수 있는 보안 구멍입니다. PDF 생성 기능과 데이터베이스 저장 기능이 함께 켜져 있을 때 특히 위험합니다.
🇺🇸 원문 (English)
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'uacf7_get_generated_pdf' function in all versions up to, and including, 3.5.33. This makes it possible for authenticated attackers, with Subscriber-level access and above, to generate and get form submission PDF, when the "PDF Generator" and the "Database" addons are enabled (disabled by default).
📍 영향받는 시스템
Ultra Addons for Contact Form 7 plugin (버전 3.5.33 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 권한 검증이 없는 함수를 호출하여 PDF 파일을 생성 및 다운로드
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 사용하지 않는 경우 'PDF Generator' 및 'Database' 애드온을 비활성화하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 이후 버전 정보를 확인하여 3.5.33 이하인지 점검하십시오.
wp plugin list --status=active | grep -i 'ultra-addons-for-contact-form-7'