🇰🇷 한글 설명
Contact Form CFDB7 1.3.2 이하 버전에서 불충분한 입력 검증으로 인해 SQL injection 취약점이 발생합니다. 이를 통해 PHP Object Injection으로 확대되어 임의 코드 실행이 가능하며, 인증 없이 원격에서 악용될 수 있습니다.
💡 쉬운 설명
WordPress 댓글 폼 플러그인의 보안 결함으로, 해커가 특수한 입력을 통해 서버 데이터베이스에 불법적으로 접근할 수 있습니다. 로그인 없이도 공격이 가능하며, 심각한 수준의 보안 위협입니다.
🇺🇸 원문 (English)
WordPress plugin Contact Form CFDB7 versions up to and including 1.3.2 are affected by a pre-authentication SQL injection vulnerability that cascades into insecure deserialization (PHP Object Injection). The weakness arises due to insufficient validation of user input in plugin endpoints, allowing crafted input to influence backend queries in unexpected ways. Using specially crafted payloads, this can escalate into unsafe deserialization, enabling arbitrary object injection in PHP. Although the issue is remotely exploitable without authentication, it does require a crafted interaction with the affected endpoint in order to trigger successfully.
📍 영향받는 시스템
Contact Form CFDB7 플러그인 버전 1.3.2 이하
⚔️ 공격 벡터
인증 없이 특수 제작된 SQL injection 페이로드를 플러그인 엔드포인트에 전송하여 데이터베이스 조회 및 PHP Object Injection 실행
🛡️ 대응 방법
Contact Form CFDB7을 1.3.3 이상의 최신 버전으로 즉시 업데이트
🔧 검증 코드
1.3.2 이하 버전이 출력되면 취약 상태이며, 1.3.3 이상이면 패치됨
wp plugin get contact-form-cfdb7 --field=version 2>/dev/null || grep -r 'Version:' /path/to/wp-content/plugins/contact-form-cfdb7/cfdb7.php | head -1