🇰🇷 한글 설명
Contact Form 7용 파일 업로드 플러그인이 .phar와 .svg 파일 확장자를 제대로 검증하지 않아, 미인증 공격자가 악성 코드를 포함한 파일을 업로드할 수 있습니다. .phar 파일은 원격 코드 실행(RCE)을, .svg 파일은 저장된 크로스 사이트 스크립팅(Stored XSS)을 야기할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인의 파일 업로드 기능이 위험한 파일 형식을 차단하지 못해서 누구나 악성 파일을 업로드하고 실행할 수 있습니다. 이를 통해 웹사이트가 완전히 해킹되거나 방문자들의 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
The Drag and Drop Multiple File Upload – Contact Form 7 plugin for WordPress is vulnerable to limited upload of files with a dangerous type in all versions up to, and including, 1.3.9.2. This is due to the plugin not blocking .phar and .svg files. This makes it possible for unauthenticated attackers to upload arbitrary .phar or .svg files containing malicious PHP or JavaScript code. Malicious PHP code can be used to achieve remote code execution on the server via direct file access, if the server is configured to execute .phar files as PHP. The upload of .svg files allows for Stored Cross-Site Scripting under certain circumstances.
📍 영향받는 시스템
Drag and Drop Multiple File Upload – Contact Form 7 플러그인 v1.3.9.2 이하 모든 버전
⚔️ 공격 벡터
미인증 사용자가 플러그인의 파일 업로드 폼을 통해 악성 .phar 또는 .svg 파일을 업로드하여 서버에서 실행
🛡️ 대응 방법
플러그인을 최신 버전으로 즉시 업데이트하거나, 서버 설정에서 .phar 파일의 PHP 실행을 비활성화하고 .svg 파일 업로드를 제한하세요.
🔧 검증 코드
플러그인 버전이 1.3.9.2 이하로 표시되면 즉시 업데이트 필요. 최신 버전 설치 후 재확인하세요.
find /var/www/html/wp-content/plugins -name 'dd-multiple-file-upload.php' -exec grep -oE 'Version: [0-9.]+' {} \; 2>/dev/null || wp plugin list --field=name,version 2>/dev/null | grep -i drag